Signaler une vulnérabilitéSignalez-la. Nous répondrons.

Si vous avez trouvé une vulnérabilité sur un service NOUSEC, cette page vous indique où l’envoyer, ce que nous considérons comme dans le périmètre et ce à quoi nous nous engageons en retour. Nous vendons de la gestion du risque humain : le moins que nous puissions faire est d’être transparents sur le nôtre.

Signaler une vulnérabilitéVoir le périmètre
[email protected] · Première réponse sous 2 jours ouvrés · Signalements lus en anglais et en turc
Le périmètre est un choix — quatre données conservées, quatre jamais touchéesCE QUE NOUS CONSERVONSCE QUE NOUS NE TOUCHONS JAMAISE-mail professionnelNom et départementRésultat des simulationsComplétion des formationsAgent sur les postesInstallation sur l’appareilHistorique de navigationFrappes au clavierRien n’est installé sur l’appareil d’un salarié.La colonne de droite est un choix, pas un manque.
Le périmètre est un choix — quatre données conservées, quatre jamais touchéesCE QUE NOUS CONSERVONSE-mail professionnelNom et départementRésultat des simulationsComplétion des formationsCE QUE NOUS NE TOUCHONS JAMAISAgent sur les postesInstallation sur l’appareilHistorique de navigationFrappes au clavierUn choix, pas un manque.

Comment signaler

Une seule adresse, lue par une personne. Aucun formulaire à remplir, aucun compte à créer.

Étape 1
Écrivez à [email protected]
Indiquez l'URL ou le point d'accès concerné, les étapes pour reproduire le problème et ce que vous avez observé. Des captures d'écran ou une courte vidéo aident. Les signalements sont lus en anglais et en turc.
Étape 2
Accusé de réception sous 2 jours ouvrés
Une réponse humaine qui vous dit si nous avons reproduit le problème, pas un accusé de réception automatique. Si l'analyse prend plus de temps, nous vous le disons au lieu de rester silencieux.
Étape 3
Nous corrigeons, puis nous vous informons
Vous apprenez ce qui a changé et quand le correctif a été déployé. Si vous le souhaitez, nous vous citons dans l'avis ; si vous préférez rester anonyme, c'est très bien aussi.

La même adresse figure dans notre fichier security.txt, conformément à la RFC 9116.

Périmètre

Énoncé clairement, car une politique au périmètre flou pousse le chercheur à deviner, et une mauvaise supposition suffit à transformer une recherche de bonne foi en incident.

Dans le périmètre
nousec.com
Le site vitrine et tout ce qu'il sert, y compris le point d'accès de demande de démo.
Dans le périmètre, avec des limites
login.nousec.com
L'interface de connexion et l'application de la plateforme, testées avec un compte qui vous appartient. Pas de scan automatisé, pas de test de charge ou de stress, et aucune tentative d'accès aux données d'une autre organisation cliente ou d'une autre personne. Dans ces limites, vos découvertes sont les bienvenues et couvertes par l'engagement ci-dessous.
Hors périmètre
Services tiers que nous ne contrôlons pas
Les découvertes concernant des services que NOUSEC utilise sans les exploiter doivent être adressées à leur fournisseur. Si vous ne savez pas à qui appartient un service, demandez-le-nous.
Hors périmètre
Infrastructure de simulation
Les domaines utilisés pour envoyer des simulations de phishing aux collaborateurs de nos clients sont volontairement conçus pour ressembler à une infrastructure d'attaquant. Les signaler comme malveillants est attendu et ne constitue pas une vulnérabilité.

Engagement de non-poursuite

Ce que vous obtenez de nous si vous agissez de bonne foi.

Si vous respectez le périmètre ci-dessus, agissez de bonne foi, évitez toute atteinte à la vie privée et toute interruption de service, et nous laissez un délai raisonnable pour corriger le problème avant de le divulguer publiquement, NOUSEC n'engagera ni ne soutiendra aucune action en justice contre vous au titre de votre recherche.

Si un tiers engage une action contre vous pour une recherche restée dans le cadre de cette politique, nous ferons savoir que votre travail était autorisé par celle-ci. Si vous souhaitez cet engagement par écrit avant de commencer, demandez-le et nous vous l'enverrons.

Ce que nous vous demandons

Quatre règles, toutes destinées à éviter qu’un test devienne un incident.

Utilisez votre propre compte
N'accédez pas aux données d'une autre personne ou d'une autre organisation cliente, ne les modifiez pas et ne les exfiltrez pas. Si vous tombez sur les données de quelqu'un d'autre, arrêtez-vous et prévenez-nous.
Ne dégradez pas le service
Pas de test de charge, pas de déni de service, pas de scan automatisé contre l'interface de connexion de la plateforme.
Pas d’ingénierie sociale contre nos équipes
Nos collaborateurs, prestataires et clients sont hors périmètre. Hameçonner nos salariés n'est pas de la recherche ici : c'est le produit que nous vendons, et nous le traiterons comme une attaque.
Laissez-nous le temps avant de divulguer
Prévenez-nous d'abord et laissez-nous déployer un correctif. Nous n'utiliserons pas ce délai pour temporiser, mais pour corriger.

Ce que nous ne prétendons pas

NOUSEC n'a pas mené à terme d'audit SOC 2 ou ISO/IEC 27001. Nous ne détenons aucune certification au titre de ces normes, et rien sur ce site ne doit être lu comme une revendication de certification. Nous n'avons pas fait réaliser de test d'intrusion indépendant. Quand cela changera, cette page l'indiquera, avec une date.

Ailleurs sur ce site, vous lirez que NOUSEC rattache les preuves de chaque organisation à sept référentiels, dont ISO/IEC 27001, NIS2, le RGPD, SOC 2 et ISO/IEC 27701. Cette phrase décrit ce que le produit fait de vos données : il rassemble et organise les preuves de formation et de simulation que votre propre auditeur vous demande. Ce n'est pas une déclaration sur notre statut de certification. Un éditeur qui produit pour vous des preuves ISO 27001 n'est pas pour autant certifié ISO 27001, et nous ne laisserons pas la même phrase jouer discrètement les deux rôles.

Nous n'avons pas de programme de bug bounty rémunéré pour le moment. Les signalements restent les bienvenus, sont traités sous deux jours ouvrés et peuvent être crédités si vous le souhaitez.

Questions

Ce que les chercheurs demandent avant d’envoyer le premier e-mail.

Comment signaler une vulnérabilité ?

Écrivez à [email protected] avec assez de détails pour reproduire le problème : l'URL ou le point d'accès concerné, les étapes suivies et ce que vous avez observé. Les signalements sont lus en anglais et en turc. Merci de ne pas publier la découverte avant notre réponse. Notre fichier security.txt indique la même adresse.

Sous quel délai vais-je recevoir une réponse ?

Nous accusons réception et faisons un premier tri de chaque signalement sous deux jours ouvrés. Cette première réponse vient d’une personne et vous dit si nous avons reproduit le problème ; ce n’est pas un accusé de réception automatique. Si l’analyse demande plus de temps, nous vous le disons et vous tenons informé plutôt que de rester silencieux.

login.nousec.com fait-il partie du périmètre ?

Oui, avec des limites. Vous pouvez tester avec un compte qui vous appartient. Les scans automatisés, les tests de charge ou de stress et toute tentative d’accès au compte d’une autre personne, ou de prise de contrôle de ce compte, sont hors périmètre. L’interface de connexion est la partie la plus sensible du système d’une entreprise de sécurité ; nous préférons définir comment la tester plutôt que de faire comme si personne n’allait le faire.

Rémunérez-vous les signalements de vulnérabilités ?

Nous n’avons pas de programme de bug bounty rémunéré pour le moment. Si vous le souhaitez, nous vous citons nommément dans notre avis, et nous vous disons honnêtement ce que nous avons corrigé et quand.

NOUSEC est-il certifié SOC 2 ou ISO/IEC 27001 ?

Non. NOUSEC n’a mené à terme aucun audit SOC 2 ou ISO/IEC 27001 et ne détient aucune certification au titre de ces normes. La plateforme produit des preuves rattachées aux référentiels pour votre propre audit ; c’est une fonctionnalité du produit, pas une déclaration sur notre propre statut de certification.

Engagerez-vous des poursuites contre des chercheurs de bonne foi ?

Non. Si vous respectez le périmètre et les règles de cette page, agissez de bonne foi et nous laissez un délai raisonnable pour corriger avant toute divulgation, nous n’engagerons ni ne soutiendrons aucune action en justice contre vous, et nous pouvons vous le confirmer par écrit.

Vous avez trouvé quelque chose ? Dites-le-nous.

[email protected] : une personne lit chaque message, et vous recevez une réponse sous deux jours ouvrés.

Demander une démoDécouvrir la plateforme

Publié conformément à la RFC 9116 · security.txt