Signaler une vulnérabilité

Où écrire

Une seule adresse, relevée par l'équipe technique : [email protected]. Elle est également déclarée dans nos fichiers /.well-known/security.txt (format RFC 9116).

Nous n'avons pas encore publié de clé de chiffrement. Si votre signalement est sensible au point de ne pas pouvoir voyager par courriel en clair, écrivez-nous une ligne sans détail technique et nous conviendrons d'un canal chiffré avant que vous n'envoyiez quoi que ce soit.

Utile dans votre message : l'URL ou le composant concerné, les étapes pour reproduire, ce que vous avez obtenu, la date et l'heure. Une capture ou un extrait de requête valent mieux qu'une description.

Ce que nous nous engageons à faire

• Accusé de réception sous 3 jours ouvrés. Par un humain, pas par un automate.
• Premier retour qualifié sous 15 jours ouvrés : si nous retenons le signalement, ce que nous en comprenons, la gravité que nous lui donnons et ce que nous comptons faire. Si nous ne le retenons pas, pourquoi.
• Vous tenir informé jusqu'à la correction, et vous dire quand elle est en place.
• Divulgation coordonnée. Nous vous demandons de ne pas publier avant la correction, et au plus tard 90 jours après votre signalement. Si nous corrigeons plus tôt, vous êtes libre plus tôt.
• Vous créditer si vous le souhaitez, ou ne vous nommer nulle part si vous préférez.

Nous sommes une petite équipe et nous ne tenons pas d'astreinte 24 h/24. Nous préférons annoncer trois jours ouvrés et les tenir que promettre deux heures et vous laisser sans réponse.

Ce que nous ne faisons pas

Nous ne versons aucune prime : ce n'est pas un programme de récompense. Nous ne vous demandons aucun accord de confidentialité pour avoir le droit de nous signaler quelque chose. Et nous n'engageons aucune action contre une personne qui signale de bonne foi en respectant le périmètre ci-dessous, même si elle s'est trompée.

Périmètre

Concernés : korela.ai, app.korela.ai, notre API, et loxyn.ai.

Hors périmètre : les services de nos prestataires (hébergement, messagerie, paiement…). Une faille chez eux se signale chez eux ; dites-le-nous quand même si elle nous expose.

Ce que nous vous demandons de ne pas faire

• Pas de déni de service, de test de charge ni d'envoi massif.
• Pas d'accès aux données d'un autre client. Si vous y parvenez, arrêtez-vous et dites-le-nous : c'est exactement ce que nous avons besoin de savoir, et une preuve minimale suffit.
• Pas de modification ni de suppression de données, pas d'installation de porte dérobée, pas de maintien d'accès.
• Pas d'ingénierie sociale envers nos salariés, nos associés ou nos clients, pas d'intrusion physique.

Si vous préférez passer par l'État

Vous pouvez signaler une vulnérabilité à l'ANSSI. L'article L.2321-4 du code de la défense protège la personne qui, de bonne foi, transmet à l'agence une vulnérabilité ou les données d'un système de traitement automatisé. Nous préférons l'apprendre directement, mais cette voie vous appartient et nous ne la contesterons pas.

Éditeur

Loxyn, société par actions simplifiée, RCS de Lyon 105 043 368, 49 boulevard Marius Vivier-Merle, 69003 Lyon, France — voir les mentions légales.