La sécurité de nos clients passe par celle de nos produits. Si vous pensez avoir trouvé une vulnérabilité, nous voulons l'entendre et la corriger, en coordination avec vous.
Périmètre
- Le logiciel Wabba-Sego, dans ses versions encore maintenues.
- Ce site et le portail client et partenaires.
Hors périmètre : les déni de service et tests de charge, l'ingénierie sociale, les accès physiques, les services de tiers (hébergeur, messagerie), et les rapports d'outils automatiques sans démonstration d'impact.
Comment signaler
Écrivez à à compléter. Indiquez :
- le produit et sa version, ou l'adresse concernée ;
- la description de la vulnérabilité et son impact ;
- les étapes pour la reproduire, et une preuve de concept si vous en avez une ;
- vos coordonnées, et si vous souhaitez être remercié publiquement.
Nos engagements
- Accuser réception sous trois jours ouvrés.
- Vous donner une première évaluation sous dix jours ouvrés, puis vous tenir informé jusqu'à la correction.
- Corriger selon la gravité, publier un avis de sécurité et prévenir nos clients.
- Notifier aux autorités compétentes les vulnérabilités activement exploitées, comme le prévoit le règlement (UE) 2024/2847 (Cyber Resilience Act).
- Vous remercier dans l'avis, si vous le souhaitez.
Divulgation coordonnée
Nous vous demandons de ne pas rendre la vulnérabilité publique avant sa correction et la publication de l'avis, ou au plus tard 90 jours après votre signalement, sauf accord différent entre nous.
Recherche de bonne foi
Nous considérons comme menée de bonne foi une recherche qui respecte cette politique : ne pas accéder aux données d'autrui au-delà du nécessaire pour démontrer la vulnérabilité, ne pas les modifier ni les conserver, ne pas dégrader le service, et nous signaler la vulnérabilité sans délai. Nous n'engagerons pas de poursuites contre une telle recherche.
Notre fichier security.txt reprend ces informations.