Divulgation de vulnérabilités.
La sécurité de vos données et de notre plateforme est une priorité. Si vous découvrez une faille dans nos systèmes, nous voulons l'entendre et agir rapidement pour la corriger.
Préambule
En tant que société de sécurité, la sécurité de vos données et de notre plateforme est une priorité.
Nous aimons faire preuve de transparence concernant nos politiques et nos pratiques de sécurité. Vous pouvez retrouver les informations sur notre page Politique de Sécurité.
Nous apportons une attention toute particulière à l’ensemble des bonnes pratiques et mesures de sécurité nécessaires. Cette page a pour objectif de préciser notre politique en matière de divulgation de vulnérabilités.
Définition
Déclarant : personne externe à l’entreprise v6Protect souhaitant déclarer une vulnérabilité.
Périmètre
Le périmètre concerne tous les éléments de l’application de la marque Activ Security (site internet, interface web, API, etc.) ainsi que les services présents sur les domaines :
• activ-security.fr
• v6protect.io
Divulgation de vulnérabilités
Activ Security prend l’engagement de ne pas poursuivre les parties qui soumettent des rapports de vulnérabilités dès lors que le(s) déclarant(s) :
• Obtiennent une autorisation écrite de la part de la direction d'Activ Security ;
• Effectuent des recherches de sécurité sans nuire à v6Protect ou à ses clients, ses employés ou prestataires ;
• N’utilisent, ne divulguent ni ne modifient aucune des données obtenues dans le cadre de ces recherches ;
• Ne réalisent pas d’action portant atteinte au bon fonctionnement des services ;
• N’effectuent pas d’attaque par déni de service.
Les vulnérabilités décelées doivent faire l’objet d’un rapport détaillé :
• Rédigé en français ;
• Présenter une véritable preuve de vulnérabilité ainsi que le mécanisme pour exploiter la faille ;
• Aucune donnée personnelle ne doit apparaître dans le rapport.
Activ Security s’engage à effectuer un retour au(x) déclarant(s) dans les meilleurs délais. Le rapport doit être envoyé à l’adresse security@activ-security.fr prévue à cet effet, chiffré à l’aide de la clé PGP transmise en amont sur demande.
Le(s) déclarant(s) s’engagent à ne pas divulguer publiquement la faille.