Politique de divulgation responsable
Si vous pensez avoir trouvé une vulnérabilité de sécurité dans Idntfy, nous voulons en être informés. Cette politique explique comment nous la signaler, ce que vous pouvez et ne pouvez pas faire pendant vos recherches, et ce à quoi nous nous engageons en retour.
En vigueur depuis le
Comment signaler une vulnérabilité
Envoyez votre signalement par e-mail à :
Veuillez indiquer :
- l’adresse, la page ou la fonctionnalité concernée ;
- les étapes permettant de reproduire le problème ;
- ce qu’un attaquant pourrait en faire ;
- si vous souhaitez être cité et, le cas échéant, sous quel nom.
Nous lisons les signalements en anglais et en néerlandais.
Périmètre
Cette politique couvre les systèmes que nous exploitons :
- notre site web (
idntfy.eu,ydntfy.com) - la plateforme Idntfy : l’application d’administration, son service de connexion et son API (
app.idntfy.eu,auth.idntfy.eu,api.idntfy.eu) - les portails eIFU publics que nous hébergeons pour nos clients, y compris les portails sur le propre domaine d’un client (
*.hcp.idntfy.eu,*.patient.idntfy.eu)
Elle ne couvre pas les services de nos prestataires, tels que nos fournisseurs d’hébergement cloud et de messagerie. Signalez un problème dans leurs systèmes directement à ceux-ci, selon leurs propres politiques.
Règles pendant vos recherches
Pour rester dans le cadre de cette politique :
- N’utilisez que des comptes qui vous appartiennent ou que vous êtes autorisé à utiliser.
- N’accédez pas à des données qui ne sont pas les vôtres, ne les modifiez pas, ne les supprimez pas et ne les conservez pas. Si vous tombez sur des données à caractère personnel ou sur le contenu d’un client, arrêtez-vous, ne les copiez pas et mentionnez-le dans votre signalement.
- N’allez pas plus loin que nécessaire pour démontrer le problème.
- Ne menez pas d’attaques par déni de service, de tests de charge ni aucune autre action qui dégrade le service pour d’autres utilisateurs.
- N’utilisez pas l’ingénierie sociale ou l’hameçonnage contre notre personnel ou nos clients, et n’attaquez pas nos locaux ou notre matériel.
- Arrêtez-vous et signalez le problème dès que vous le trouvez. Ne l’utilisez pas pour pénétrer plus avant dans nos systèmes.
- Gardez les détails confidentiels jusqu’à ce que le problème soit corrigé, comme décrit ci-dessous sous Divulgation.
Nos engagements
- Nous accusons réception de votre signalement dans un délai de 3 jours ouvrables.
- Nous vous indiquons si nous parvenons à reproduire le problème et vous tenons informé de nos progrès jusqu’à sa résolution.
- Nous corrigeons ou atténuons une vulnérabilité qui affecte la production dans un délai de 7 jours si elle est critique, de 30 jours si elle est élevée et de 90 jours si elle est moyenne, à compter du moment où nous en avons connaissance.
- Si vous le souhaitez, nous vous citons nommément une fois le problème corrigé.
Protection juridique
Nous n’engagerons pas de poursuites contre vous, et ne demanderons pas aux autorités d’agir contre vous, pour des recherches menées de bonne foi conformément à cette politique. Nos Conditions d’utilisation disent la même chose à nos clients : une recherche de sécurité de bonne foi qui nous est signalée conformément à cette politique ne constitue pas une violation de leurs règles d’utilisation acceptable. Cette politique ne peut pas autoriser l’accès à des systèmes qui ne sont pas les nôtres.
Divulgation
Laissez-nous un délai raisonnable pour corriger le problème avant de le rendre public : 90 jours à compter de votre signalement, sauf si nous convenons d’une autre date avec vous. Prévenez-nous avant de publier, afin que nous puissions convenir de ce qui est divulgué.
Pas de programme de prime aux bogues
Nous ne gérons pas de programme de prime aux bogues (bug bounty) et ne rémunérons pas les signalements.
Contact lisible par machine
Notre contact de sécurité est également publié au format défini par la RFC 9116, à l’adresse :