Politique de divulgation des vulnérabilités

Texte provisoire, en attente de validation juridique. Ce n'est pas la version définitive.

Dernière mise à jour 4 novembre 2026

La sécurité de nos services compte pour nous et pour nos clients. Si vous pensez avoir trouvé une vulnérabilité, merci de nous la signaler. Cette politique explique comment faire, ce que vous pouvez tester et ce que nous nous engageons à faire.

Comment nous contacter

Écrivez à security@scaliamo.com. Cette adresse figure aussi dans le fichier /.well-known/security.txt de chacun de nos sites et de notre application, selon la norme RFC 9116.

Dans votre message, indiquez si possible :

• l'adresse ou la fonction concernée ;
• la nature de la vulnérabilité et son impact possible ;
• les étapes pour la reproduire ;
• vos coordonnées, si vous souhaitez un suivi.

Vous pouvez écrire en français ou en anglais.

Périmètre

Sont couverts :

• les sites de nos produits ;
• notre application, son API et son widget.

Seuls les domaines que nous exploitons sont couverts. Les services de nos fournisseurs (hébergement, paiement, envoi d'e-mails) relèvent de leurs propres politiques.

Hors périmètre

• les attaques par déni de service, quelle qu'en soit la forme ;
• l'ingénierie sociale visant nos équipes, nos clients ou nos fournisseurs (hameçonnage, appels, messages) ;
• les tests physiques sur nos locaux ou nos équipements ;
• l'envoi en masse de messages par nos formulaires (inscription, liste d'attente, contact) ;
• les analyses automatiques en masse, par scanner ou robot ;
• les rapports issus d'un outil automatique sans démonstration d'un impact réel.

Règles de bonne foi

Nous vous demandons de :

1. tester uniquement avec vos propres comptes, ou avec des comptes dont le titulaire vous a donné son accord ;
2. ne jamais consulter, modifier, copier ou supprimer des données qui ne vous appartiennent pas ; si vous y accédez par accident, arrêtez-vous, ne conservez rien et signalez-le-nous ;
3. vous limiter au strict nécessaire pour démontrer la vulnérabilité ;
4. ne pas dégrader le service pour les autres utilisateurs ;
5. ne pas divulguer la vulnérabilité avant sa correction, ni avant la date convenue avec nous ;
6. ne pas nous demander de contrepartie en échange de votre signalement.

Nos engagements

Nos délais :

• accusé de réception sous 3 jours ouvrés ;
• première évaluation (vulnérabilité confirmée ou non, gravité) sous 10 jours ouvrés ;
• correction selon la gravité, avec un point d'avancement au moins toutes les deux semaines ;
• divulgation coordonnée : nous convenons avec vous d'une date de publication, en principe 90 jours au plus après le signalement.

Nous vous tenons informé de la correction. Avec votre accord, nous pouvons citer votre nom dans nos remerciements.

Pas de programme de primes

Nous n'avons pas de programme de primes. Aucune récompense financière n'est versée pour un signalement.

Cadre juridique

Nous n'engagerons pas de poursuites contre une personne qui signale une vulnérabilité de bonne foi et qui respecte cette politique. Si un tiers engage une action contre vous pour des recherches conformes à cette politique, nous ferons savoir que vous avez agi avec notre autorisation.

Cette politique ne vous autorise pas à enfreindre la loi, ni à accéder aux données de nos clients.

Évolution de cette politique

Nous pouvons modifier cette politique. La version publiée sur cette page fait foi.