Politique de divulgation des vulnérabilités

Voici nos engagements, avec des délais volontairement modestes. Loonext est exploité par une seule personne. Une promesse d'accusé de réception en quatre heures semblerait meilleure, mais serait brisée au premier signalement reçu un samedi; une politique qui se trompe sur ses propres délais est pire qu'une politique qui admet être lente.

• Dans les 3 jours ouvrables : nous accusons réception de votre signalement et confirmons qu'une personne, pas une réponse automatique, l'examine.
• Dans les 10 jours ouvrables : nous vous indiquons ce que nous avons trouvé. Il s'agit d'une évaluation, pas nécessairement d'une correction; si nous concluons qu'il ne s'agit pas d'une vulnérabilité, nous l'expliquons.
• Tous les 10 jours ouvrables par la suite, tant que le dossier demeure ouvert, nous vous donnons des nouvelles sans que vous ayez à les demander.
• Lorsque la correction est mise en production, nous vous le confirmons et vous donnons la date.

Les problèmes critiques passent en premier. Tous les délais ci-dessus sont des maximums, pas des objectifs.

Nous sommes heureux de vous reconnaître sous le nom de votre choix, ou de ne pas vous nommer. Nous n'offrons aucune prime payée : aucun paiement n'est prévu, et le dire d'avance est plus juste que de vous le laisser découvrir après votre travail.

Si vous respectez cette politique, nous considérerons votre recherche comme autorisée. Nous n'intenterons aucune action en justice contre vous, ne demanderons pas à un hébergeur ni à une plateforme d'agir contre vous et, si une autre partie soulève la question, nous confirmerons que votre travail était autorisé.

Cette protection s'applique tant que vous :

• testez seulement un espace de travail que vous contrôlez;
• arrêtez-vous dès que vous avez prouvé le problème plutôt que d'aller plus loin pour voir jusqu'où il donne accès;
• ne dégradez le service pour personne et ne lancez aucune charge automatisée contre lui;
• n'accédez pas aux données d'une autre entreprise, ne les copiez pas et ne les conservez pas; si vous en rencontrez par accident, avertissez-nous immédiatement afin que nous puissions traiter l'incident comme une atteinte;
• accordez-nous 90 jours à compter de votre signalement avant de publier, ou moins si nous en convenons, ou plus si nous le demandons et que vous acceptez.

Cette autorisation vient de nous et couvre nos propres systèmes. Elle ne peut pas engager nos sous-traitants, qui figurent à /fr/sous-traitants et possèdent chacun leur propre politique.

• Le produit hébergé : loonext.com, app.loonext.com et api.loonext.com.
• Ce dépôt, y compris tout élément qui y a été publié alors qu'il n'aurait pas dû l'être.

Veuillez effectuer vos tests dans votre propre espace de travail. Rien ne justifie de lire les messages des clients d'une autre entreprise pour faire une démonstration, et une preuve de concept qui touche leurs données est précisément ce que nous préférons ne pas recevoir.

Sont exclus : les rapports produits par un analyseur sans exemple fonctionnel, les en-têtes manquants sans effet expliqué et tout problème qui exige l'accès physique au téléphone déverrouillé d'une personne.

https://loonext.com/.well-known/security.txt, conforme à la RFC 9116, contient la même adresse de contact. Son champ Policy pointe vers /legal/vulnerability-disclosure, la version anglaise du présent document : une seule source, deux portes d'entrée possibles pour une personne qui fait de la recherche.

security.txt est la copie officielle de l'adresse de contact; un test échoue si ce fichier s'en écarte, parce que deux adresses de contact sont pires qu'une seule, surtout si la mauvaise est celle que la personne lit.

Nous n'avons ni rapport SOC 2 ni test d'intrusion indépendant terminé. Le dire ici fait gagner du temps à tout le monde plutôt que de laisser un acheteur présumer le contraire et le découvrir pendant l'approvisionnement. Ce qui existe est décrit à /security; il s'agit de mesures mises en oeuvre plutôt que d'intentions.