Signaler une vulnérabilité.
Comment nous signaler une faille de sécurité, les règles à respecter et ce à quoi nous nous engageons en retour.
Acteur de la cybersécurité, Abakus Sécurité accueille favorablement les signalements de vulnérabilités effectués de bonne foi. Cette politique précise le périmètre concerné, la manière de nous contacter et les règles que nous appliquons de part et d’autre.
1. Périmètre
Cette politique couvre :
- le site www.abakus-securite.fr et les sous-domaines d’abakus-securite.fr ;
- les services et systèmes exposés sur Internet par Abakus Sécurité.
Sont hors périmètre :
- les services de tiers (LinkedIn, hébergeurs, éditeurs partenaires), à signaler directement à leurs responsables ;
- les systèmes de nos clients : si vous découvrez une vulnérabilité les concernant, contactez directement l’organisation concernée ou le CERT-FR ;
- les rapports issus uniquement d’outils automatisés, sans démonstration d’un impact réel sur la sécurité.
2. Comment signaler
Adresse dédiée : blueteam@abakus-securite.fr
Chiffrement recommandé : clé PGP publique, empreinte 0AE7 5E2F 3CBA 9D29 28C9 A868 F496 A0CA 04F8 F292
Fichier de référence : security.txt (RFC 9116)
Langues : français ou anglais.
Pour nous permettre d’analyser rapidement votre signalement, merci d’indiquer :
- une description de la vulnérabilité et du composant ou de l’URL concernés ;
- les étapes permettant de la reproduire, avec une preuve de concept si possible ;
- l’impact potentiel estimé ;
- la date de découverte et un moyen de vous recontacter (un pseudonyme est accepté).
3. Règles de conduite
Pendant vos recherches, nous vous demandons de :
- limiter vos tests au strict nécessaire pour démontrer la vulnérabilité ;
- ne pas accéder, copier, modifier ou supprimer des données qui ne vous appartiennent pas. Si vous accédez accidentellement à des données personnelles, arrêtez-vous, ne les conservez pas et signalez-le-nous ;
- ne pas mener d’attaque par déni de service, de test de charge, d’ingénierie sociale, d’hameçonnage ni d’intrusion physique ;
- ne pas installer de porte dérobée ni maintenir un accès au-delà de la démonstration ;
- ne pas divulguer la vulnérabilité publiquement avant sa correction ou sans notre accord.
4. Nos engagements
- accuser réception de votre signalement sous 5 jours ouvrés ;
- vous tenir informé de notre analyse et de l’avancement de la correction ;
- coordonner avec vous la date de publication éventuelle, en visant une correction sous 90 jours, délai ajustable selon la complexité ;
- traiter votre signalement et votre identité de manière confidentielle ;
- vous remercier publiquement si vous le souhaitez.
5. Cadre légal
Abakus Sécurité n’engagera pas de poursuites à l’encontre des personnes qui recherchent et signalent de bonne foi une vulnérabilité dans le respect de la présente politique. Cet engagement ne couvre pas les actions contraires à la loi ou aux règles ci-dessus, ni les systèmes de tiers.
Vous pouvez également transmettre une vulnérabilité à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui préserve la confidentialité de l’identité de la personne à l’origine du signalement (article L. 2321-4 du code de la défense).
6. Récompenses
Abakus Sécurité ne propose pas de programme de récompense financière (bug bounty). Les personnes ayant contribué peuvent, avec leur accord, être remerciées publiquement.
7. Données personnelles
Les informations transmises sont utilisées uniquement pour traiter votre signalement et échanger avec vous, conformément à notre politique de données personnelles.
Dernière mise à jour : 18 octobre 2026.