Politique de divulgation coordonnée des vulnérabilités

La sécurité de nos systèmes et des données de nos clients est une priorité. Si vous pensez avoir découvert une vulnérabilité, nous voulons l’apprendre le plus vite possible pour la corriger. Cette politique fixe les règles d’une divulgation coordonnée.

Périmètre

• les sites zeborne.be et zeborne.com et leurs sous-domaines, y compris le portail ZMS (portal.zeborne.com) ;
• l’application ZEborne Mobility Services ;
• les interfaces de programmation (API) de ZMS.

Hors périmètre : les services de tiers que nous utilisons sans les contrôler (hébergement, magasins d’applications, opérateurs de réseaux de recharge), les bornes installées chez nos clients sans leur accord écrit préalable, ainsi que les attaques par déni de service, l’ingénierie sociale, l’hameçonnage et toute intrusion physique.

Comment signaler

Écrivez à security@zeborne.com en indiquant :

• le système concerné (adresse, application, version) ;
• la description de la vulnérabilité et son impact possible ;
• les étapes pour la reproduire ;
• vos coordonnées, si vous souhaitez être recontacté.

Le fichier /.well-known/security.txt de ce site reprend ces informations.

Nos engagements

• accuser réception de votre signalement dans les 5 jours ouvrables ;
• vous tenir informé de l’analyse et de la correction ;
• corriger les vulnérabilités confirmées dans les meilleurs délais, en visant 90 jours au plus ;
• convenir avec vous de la date d’une éventuelle publication ;
• vous citer, si vous le souhaitez, une fois la vulnérabilité corrigée ;
• ne pas engager de poursuites contre une personne qui respecte de bonne foi la présente politique.

Règles à respecter

• n’accéder qu’aux données strictement nécessaires pour démontrer la vulnérabilité, ne pas les copier, les modifier ni les supprimer, et nous signaler immédiatement tout accès à des données personnelles ;
• ne pas perturber nos services ni ceux de nos clients, et ne pas utiliser d’outils automatisés à grand volume ;
• ne pas installer de porte dérobée ni chercher à garder un accès ;
• ne pas divulguer la vulnérabilité avant sa correction ou sans notre accord ;
• ne pas demander de contrepartie financière : ce programme ne prévoit pas de prime.

Cadre légal en France

L’article L.2321-4 du Code de la défense permet de signaler une vulnérabilité à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui préserve la confidentialité de l’identité de l’auteur du signalement. Voir la page de signalement du CERT-FR.