Une vulnérabilité découverte ? Signale-la-nous.

Signale les vulnérabilités potentielles des routeurs ServiceGate, contrôleurs, firmwares, du Remote Portal, de notre application et des logiciels et services que nous développons. Pour une solution sur mesure, précise l’application et sa réalisation.

Cette politique n’autorise pas les tests sur les environnements de clients ou les systèmes de tiers. Effectue des recherches actives uniquement dans ton propre environnement de test isolé ou avec une autorisation distincte convenue à l’avance. Tu peux signaler un soupçon sans effectuer de tests supplémentaires.

Écris à security@remoteengineer.eu en indiquant, si possible :

• Le produit, le modèle, la révision matérielle et la version du firmware ou du logiciel.
• Le service ou l’URL concerné.
• Tes observations et leurs conséquences possibles.
• Les étapes minimales pour reproduire le problème sans danger.
• Des preuves techniques limitées et un moyen de te contacter.

N’envoie aucun mot de passe, clé privée, dossier client complet ou donnée personnelle inutile. Avant d’envoyer des détails sensibles, demande un moyen de transmission adapté et attends qu’il soit convenu. Nous acceptons aussi les signalements anonymes ; sans coordonnées, nous ne pouvons pas poser de questions ni donner de retour.

• Limite tes recherches à ce qui est nécessaire pour démontrer la vulnérabilité.
• Ne modifie ni ne supprime de données, n’installe pas de porte dérobée et ne conserve pas d’accès inutile.
• Arrête en cas d’accès involontaire aux données d’autrui ; ne les copie pas et ne les diffuse pas.
• N’utilise pas de phishing, d’ingénierie sociale, de force brute ou d’attaques perturbatrices.
• N’utilise pas nos produits ou services pour accéder aux réseaux clients situés derrière eux.
• Ne teste pas d’installations en exploitation sans autorisation distincte et dispositions de sécurité.

La sécurité physique passe en premier. Les recherches ne doivent pas affecter les mouvements de machines, le fonctionnement des pompes ou d’autres processus physiques. Sur les navires, elles ne doivent pas commander le cap ou la vitesse.

Nous accusons réception sous trois jours ouvrés. Nous évaluons dès que possible l’impact technique et l’urgence. Lors de notre première réponse sur le fond, nous convenons de la date du prochain retour. Le délai de correction dépend du risque, de l’impact et des dépendances techniques ; nous ne garantissons pas un délai fixe pour chaque problème.

Nous traitons les signalements et les coordonnées de manière confidentielle. Si une coopération avec un fournisseur concerné, un coordinateur ou une autorité compétente est nécessaire, nous limitons le partage aux informations pertinentes en tenant compte des obligations légales.

Les signalements urgents n’attendent pas le délai d’accusé de réception. Les indices d’exploitation active sont immédiatement transmis en interne pour prise en charge prioritaire. Les délais légaux de notification sont évalués séparément et priment sur notre calendrier de retour.

Laisse-nous une possibilité raisonnable d’examiner le problème et de protéger les utilisateurs avant de publier des détails techniques. Nous discutons ensemble d’un calendrier adapté à la gravité, à l’exploitation possible et aux mesures disponibles. Tout report est motivé ; la confidentialité n’est pas illimitée.

Avec ton accord, nous pouvons te citer comme auteur de la découverte. Aucune rémunération financière n’est garantie pour un signalement.

Si tu agis de bonne foi et respectes cette politique, nous n’engagerons pas de poursuites à ton encontre pour ces recherches ou ce signalement. Cet engagement est pris uniquement au nom de Remote Engineer. Nous ne pouvons prendre aucun engagement au nom des clients, de tiers ou des autorités compétentes.

Tu ne sais pas si ton observation entre dans le périmètre ? Envoie une brève description sans données sensibles à security@remoteengineer.eu. N’effectue pas de tests supplémentaires uniquement pour déterminer le périmètre.

Cette politique ne prouve pas la conformité au CRA et ne remplace pas les procédures légales de notification.

Avis de sécurité et mises à jour →