Vous pensez avoir trouvé une faille de sécurité dans un logiciel d'Unidus Consulting ou sur ce site ? Merci de nous l'écrire. Cette page dit comment, et ce que nous faisons ensuite.
Ce qui est concerné
- les logiciels que nous livrons à nos clients, y compris le code source qui les accompagne ;
- ce site, unidus-consulting.com.
Ne sont pas concernés les systèmes de nos clients eux-mêmes : si la faille touche leur installation plutôt que notre logiciel, écrivez-nous quand même, nous les préviendrons.
Comment nous écrire
Écrivez à securite@unidus-consulting.com, en français ou en anglais. Pour que nous puissions agir vite, indiquez :
- le logiciel ou la page concernés, et sa version si vous la connaissez ;
- ce que la faille permet de faire ;
- les étapes pour la reproduire ;
- comment vous souhaitez être cité, ou si vous préférez rester anonyme.
Ce que nous nous engageons à faire
- accuser réception de votre message sous 5 jours ouvrés ;
- vous donner un premier diagnostic sous 10 jours ouvrés : faille confirmée ou non, et sa gravité ;
- vous tenir informé jusqu'à la correction ;
- corriger, prévenir nos clients concernés, puis publier un avis ;
- vous remercier publiquement dans cet avis, si vous le souhaitez.
Nous ne versons pas de prime. Nous préférons le dire clairement plutôt que de le laisser espérer.
Ce que nous vous demandons
- nous laisser le temps de corriger avant de rendre la faille publique : 90 jours au plus après votre signalement, moins si le correctif sort avant. Nous nous accordons avec vous sur la date ;
- ne pas accéder aux données d'autrui au-delà de ce qui est nécessaire pour démontrer la faille, et ne pas les conserver ;
- ne rien détruire, ne rien altérer, ne pas perturber le service (pas de déni de service, pas d'envoi massif) ;
- ne pas tester sur les installations de nos clients sans leur accord.
Notre engagement envers vous
Si vous agissez de bonne foi et dans le respect de ces règles, nous n'engagerons aucune poursuite contre vous et ne demanderons à personne de le faire. Si un tiers vous mettait en cause pour ces recherches, nous dirions publiquement que vous agissiez avec notre accord.
Si nous ne répondons pas
Sans réponse de notre part sous 10 jours ouvrés, relancez-nous à contact@unidus-consulting.com. Vous pouvez aussi vous adresser au CERT-MU, l'équipe nationale de réponse aux incidents de Maurice, où notre société est établie.
