Aller au contenu

sécurité

Politique de divulgation des vulnérabilités

dernière mise à jour

La présente politique est celle de HIDENENTERPRISES S.L. pour son service Duravigil. Elle explique comment nous signaler une faille de sécurité, ce que nous faisons du signalement, dans quels délais, et la protection dont vous bénéficiez si vous faites vos recherches de bonne foi. Nous la révisons au moins une fois par an.

1. Périmètre

La présente politique couvre les systèmes que nous exploitons :

  • Le site www.duravigil.com et les autres sous-domaines de duravigil.com que nous exploitons, y compris la plateforme client app.duravigil.com.
  • Les domaines duravigil.es, duravigil.cat, duravigil.eu, duravigil.net et durabigil.com.
  • La plateforme de veille Duravigil et les services associés, y compris le test de sécurité automatisé.

Hors périmètre :

  • Les produits des fabricants avec lesquels nous travaillons. Signalez les failles au fabricant, selon sa propre politique. Nous ne confirmons pas qui sont nos clients.
  • Les services tiers que nous utilisons, comme Cloudflare ou Microsoft 365. Signalez les failles à chaque fournisseur, par son propre programme.

2. Comment signaler

Écrivez à security@duravigil.com, en anglais ou en espagnol. Pour que nous puissions traiter votre signalement correctement, indiquez :

  • Le système ou l'adresse concernés.
  • Ce que vous avez trouvé et l'impact que vous lui attribuez.
  • Les étapes pour le reproduire et, si vous en avez une, une preuve de concept.
  • La date de votre découverte.
  • Comment vous joindre si nous avons des questions : une adresse e-mail ou un numéro de téléphone.

Nous recommandons d'envoyer les informations confidentielles chiffrées et signées. Nous préparons notre clé OpenPGP ; une fois publiée, nous la mettrons en lien ici et dans le security.txt, avec son empreinte. D'ici là, si les détails sont sensibles, écrivez-nous d'abord sans eux et nous conviendrons de la manière de les transmettre.

Signalements anonymes

Vous pouvez écrire depuis une adresse qui ne vous identifie pas. Sachez que si nous ne pouvons pas vous poser de questions, nous ne pourrons peut-être traiter le signalement qu'en partie, voire pas du tout. Si le problème est complexe, nous aurons probablement besoin de plus d'explications ou de documentation.

3. Délais de réponse

  • Accusé de réception sous 5 jours ouvrables après votre signalement ou après chaque mise à jour que vous nous envoyez. Une personne le rédige ; ce n'est pas une réponse automatique.
  • Réponse détaillée sous 10 jours ouvrables, avec l'un de ces trois éléments : la confirmation ou l'exclusion de la vulnérabilité, les questions auxquelles nous avons besoin de réponses pour la comprendre, ou la raison pour laquelle l'analyse prendra plus de temps, avec l'engagement de vous envoyer une nouvelle mise à jour sous 10 jours ouvrables au plus.

Nous comptons les jours ouvrables selon le calendrier de Cervera (Lleida, Espagne). Ces délais ne s'appliquent pas aux signalements anonymes, puisque nous n'avons personne à qui répondre. Vous pouvez demander à tout moment où en est votre signalement.

4. Nos engagements

  • Nous traitons chaque signalement de manière confidentielle, dans la mesure permise par la loi. Nous ne publions que ce qui est nécessaire pour divulguer la vulnérabilité une fois corrigée.
  • Nous ne communiquons pas vos données personnelles à des tiers sans votre accord exprès.
  • Nous répondons dans les délais fixés par la présente politique et restons disponibles tout au long du processus.
  • Nous ne vous demandons pas de signer un accord de confidentialité.
  • Si vous le souhaitez, nous vous remercions publiquement, sous votre nom ou votre pseudonyme, une fois le dossier clos.

Protection si vous agissez de bonne foi

Si vous faites vos recherches de bonne foi et respectez la présente politique, nous n'engagerons pas de poursuites contre vous et ne vous dénoncerons pas aux autorités pour ces recherches, que nous considérerons comme autorisées par nous. Si un tiers agit contre vous pour quelque chose que vous avez fait dans le cadre de cette politique, nous ferons savoir que vous avez agi conformément à celle-ci. Cela ne s'applique pas en cas d'intention criminelle manifeste.

5. Ce que nous considérons comme une vulnérabilité

Nous traitons comme une vulnérabilité une faille qui :

  • concerne l'un des systèmes du périmètre ;
  • n'est pas encore publique ;
  • est accompagnée d'une explication et ne se limite pas au résultat d'un outil automatisé sans autre documentation.

Si vous signalez quelque chose que nous avons déjà corrigé, nous le lisons et le vérifions quand même. Les constats comme des en-têtes ou des réglages recommandés, sans impact démontrable, sont les bienvenus, même s'ils ne suivent généralement pas tout le processus.

6. Ce que nous vous demandons

  • N'exploitez pas la faille au-delà de ce qui est nécessaire pour la démontrer, et ne causez aucun dommage.
  • N'accédez pas à des données qui ne sont pas les vôtres, ne les modifiez pas et ne les supprimez pas. Si vous tombez sur des données personnelles d'autres personnes, arrêtez-vous, prévenez-nous et ne les conservez pas.
  • N'effectuez ni attaques par déni de service ou par force brute, ni envois massifs, ni ingénierie sociale, ni tests physiques.
  • Ne mettez pas en danger et ne modifiez pas les systèmes ou les données de tiers.
  • Ne proposez à personne d'outils permettant d'exploiter la faille.
  • Ne publiez pas la faille avant qu'elle soit corrigée ou avant que nous ayons convenu d'une date avec vous.

Nous demandons à toutes les personnes impliquées de se traiter avec respect. Nous n'acceptons ni les insultes ni aucune forme de discrimination. Si un signalement ne respecte pas ces règles, nous le traiterons quand même dans la mesure du possible, mais nous ne remercierons pas publiquement son auteur.

7. Coordination et divulgation

Nous convenons avec vous de la date de publication. Nous publions les vulnérabilités confirmées au plus tard 90 jours après les avoir validées. Si une raison justifiée impose plus de temps pour en corriger une, ce délai peut être prolongé une fois de 90 jours supplémentaires, en accord avec vous et avec le CSIRT désigné comme coordinateur en Espagne, où nous sommes établis.

Si la vulnérabilité est activement exploitée, nous la notifierons à ce CSIRT sans retard injustifié et le tiendrons informé de l'avancement de la correction.

8. Clôture d'un dossier

Nous considérons un dossier comme clos dans l'un des cas suivants :

  • la vulnérabilité est corrigée et a été publiée ;
  • nous constatons que le signalement n'est pas fondé, et nous vous expliquons pourquoi ;
  • vous ne répondez pas à nos questions techniques pendant au moins 30 jours et nous ne pouvons pas avancer sans votre aide.

Nous vous informons de la clôture, sauf si le signalement était anonyme.

9. Récompenses

Nous n'avons pas de programme de récompenses rémunéré pour le moment. Avec votre accord, nous remercions publiquement toute personne qui nous signale une vulnérabilité valide.

10. Contact et langues

La présente politique est aussi publiée en espagnol, version qui prévaut en cas de divergence : Política de divulgación de vulnerabilidades.