Signaler une vulnérabilité

Ceci est une traduction. En cas de divergence, la version italienne fait foi.

Si vous pensez avoir trouvé une vulnérabilité dans Walkie Desk, nous voulons le savoir. Cette page constitue notre politique de divulgation coordonnée : elle explique comment nous la signaler, quelles règles respecter et ce que vous pouvez attendre de nous.

Comment signaler

• Avec le formulaire Signaler un problème, en choisissant « Une vulnérabilité » ;
• ou en écrivant à security@walkiedesk.app.

Nous ne publions pas de clé PGP pour le moment : si vous avez besoin d’un canal chiffré pour nous envoyer les détails, écrivez-nous et nous en conviendrons ensemble. Nous lisons les signalements en italien et en anglais.

Si la vulnérabilité est déjà exploitée, indiquez-le au début de votre message : nous la traitons en priorité et, comme le prévoit le Cyber Resilience Act, nous la notifions au CSIRT Italia et à l’ENISA.

Ce qu’il faut indiquer

• le composant (par exemple Walkie Desk pour Windows, Mac ou Linux, QuickSupport, espace utilisateur, API) et sa version ;
• si le problème se trouve dans une bibliothèque tierce, laquelle et dans quelle version (la liste figure dans Composants logiciels) ;
• une description du problème et de son impact ;
• les étapes pour le reproduire et, si vous en avez une, une preuve de concept ;
• comment vous recontacter et si vous souhaitez être cité dans l’avis.

Ne nous envoyez pas de données personnelles d’autres personnes que vous auriez pu voir pendant vos tests.

Périmètre

Règles pour les tests

• N’utilisez que vos propres comptes et PC, ou ceux que vous êtes autorisé à tester.
• N’accédez pas aux données d’autrui, ne les modifiez pas et ne les supprimez pas : si vous en voyez, arrêtez-vous et signalez-le-nous.
• N’exploitez la vulnérabilité que dans la mesure nécessaire pour la démontrer : ne téléchargez pas de données, ne laissez pas d’accès ouverts et ne passez pas à d’autres systèmes. Supprimez les données obtenues après nous avoir fait votre signalement.
• Ne dégradez pas le service (ni attaques par déni de service, ni tests de charge) et n’envoyez pas de spam.
• Pas d’ingénierie sociale, d’hameçonnage ni d’accès physique visant le personnel d’iDev ou les utilisateurs.
• Ne rendez pas la vulnérabilité publique avant qu’elle soit corrigée ou avant la date convenue avec nous.

Délais indicatifs

Accusé de réception

sous 5 jours ouvrés

Première évaluation

sous 10 jours ouvrés

Correction des vulnérabilités graves

dans les 90 jours suivant le signalement

Nous vous tenons informé de l’état de votre signalement et convenons avec vous du moment où le rendre public. Après la correction, nous publions un avis de sécurité.

Bonne foi

Si vous nous signalez une vulnérabilité de bonne foi et respectez cette politique, nous n’engagerons aucune action en justice contre vous pour vos recherches et ne demanderons pas aux autorités de le faire. Si un tiers devait agir contre vous pour des activités menées conformément à cette politique, nous le ferons savoir.

Mention

Si vous le souhaitez, nous vous citons sous le nom ou le pseudonyme de votre choix dans l’avis de sécurité de la correction et sur la page Remerciements. La mention est facultative. Pour l’instant, nous n’offrons pas de récompense financière (bug bounty).

Cette politique fait partie de la gestion des vulnérabilités de Walkie Desk prévue par le règlement (UE) 2024/2847 (Cyber Resilience Act). La référence lisible par machine est security.txt. Comment nous traitons les données des signalements : politique de confidentialité.