Introduction

La présente politique constitue la politique de divulgation coordonnée des vulnérabilités mise en œuvre par Skaleet, en sa qualité de fabricant de produits comportant des éléments numériques, en application du règlement (UE) 2024/2847 (règlement sur la cyberrésilience).

À Skaleet, la sécurité de nos systèmes d'information et de communication est une priorité absolue.

Toutefois, l'existence de vulnérabilités ne peut jamais être totalement écartée, malgré tous les efforts déployés. Lorsque des vulnérabilités sont détectées et exploitées, elles mettent en péril la confidentialité, l'intégrité ou la disponibilité des systèmes de Skaleet et des informations qui y sont traitées.

La présente politique en matière de divulgation des vulnérabilités décrit les systèmes et types de tests qui sont autorisés et les modalités de signalement des vulnérabilités. Nous vous encourageons à nous contacter à l'adresse security@skaleet.com pour signaler d'éventuels problèmes de sécurité dans nos systèmes en respectant la présente politique.

Protection juridique

L'entreprise s'engage à ne pas engager de poursuites judiciaires (notamment pour accès frauduleux à un système de traitement automatisé de données ou violation de la propriété intellectuelle) à l'encontre des personnes signalant une vulnérabilité, si et seulement si les conditions et le processus décrits dans la présente politique sont intégralement respectés.

Pour bénéficier de cette protection, le déclarant doit impérativement remplir l'ensemble des conditions suivantes :

  • Signalement et respect du processus : Signaler la vulnérabilité découverte via notre canal officiel et exclusif de communication, et maintenir sa confidentialité absolue.

  • Absence de destruction ou d'altération : Garantir que le processus de découverte de la vulnérabilité n'a engendré aucune destruction, altération, modification ou suppression de données, de systèmes, d'infrastructures ou de services appartenant à l'entreprise ou à ses clients.

  • Préservation des opérations : S'abstenir de toute action susceptible d'interrompre, de ralentir ou de dégrader la disponibilité de nos services ou l'activité de nos utilisateurs.

Toute violation de l'une de ces conditions, et en particulier toute destruction ou compromission de données au cours des recherches, entraînera l'annulation immédiate de cet engagement de non-poursuite. L'entreprise se réservera alors le droit d'engager toutes les actions légales, civiles et pénales appropriées.

Clause de réserve et de discrétion opérationnelle

Skaleet se réserve le droit de modifier sa politique de divulgation coordonnée des vulnérabilités à tout moment, sans préavis, ainsi que d'accorder des exceptions à ses règles au cas par cas.

Acceptation des conditions de la politique de divulgation coordonnée des vulnérabilités

En transmettant vos coordonnées et votre rapport, vous confirmez avoir pris connaissance et accepter sans réserve les conditions de la politique de divulgation coordonnée des vulnérabilités de Skaleet

Les données à caractère personnel transmises à cette occasion (notamment votre identité et votre adresse électronique) sont traitées par Skaleet aux seules fins d'instruction du signalement. Pour toute information sur ce traitement, vous pouvez consulter la politique de confidentialité de Skaleet.

Champ d'application

La présente politique s'applique à tous les systèmes de l'entreprise reliés à internet.
Les vulnérabilités constatées dans les systèmes par leurs fabricants sont également exclues du champ d'application et doivent être signalées directement à ces fabricants conformément à leur propre politique en matière de divulgation (le cas échéant).

Abstenez-vous d'effectuer les actions suivantes

  • introduire des logiciels malveillants (virus, vers, cheval de Troie, etc.) dans un système ;

  • compromettre un système en utilisant des exploitations pour en obtenir le contrôle total ou partiel ;

  • copier, modifier ou supprimer des données du système ;

  • apporter des modifications au système ;

  • accéder de manière répétée au système ou en partager l'accès avec des tiers ;

  • utiliser tout accès obtenu pour tenter d'accéder à d'autres systèmes ;

  • modifier les droits d'accès d'autres utilisateurs ;

  • utiliser des outils de scannage automatisé ;

  • recourir à une attaque dite de « force brute » pour accéder à un système ;

  • utiliser l'attaque par déni de service ou la manipulation psychosociale [hameçonnage (vocal), pourriels, etc.] ;

  • mener des attaques portant atteinte à la sécurité physique.

Ce que nous attendons de vous

Afin de nous permettre d'analyser et de corriger efficacement toute vulnérabilité qui nous est signalée, nous attendons de chaque déclarant qu'il nous fournisse un rapport aussi complet et détaillé que possible. Un signalement insuffisamment documenté allonge les délais de traitement et peut compromettre notre capacité à reproduire et à remédier au problème identifié.

Tout rapport de vulnérabilité adressé à security@skaleet.com doit impérativement contenir les éléments suivants :

  • Description de la vulnérabilité : une explication claire et précise de la nature du problème identifié, de la composante ou du système affecté, ainsi que des conditions dans lesquelles la vulnérabilité peut être exploitée.

  • Procédure de reproduction pas à pas : une séquence d'étapes détaillée et ordonnée permettant à nos équipes de reproduire le comportement vulnérable de manière autonome, depuis un environnement neutre.

  • Éléments de preuve : toutes les pièces justificatives utiles à la compréhension du signalement, telles que des captures d'écran, des enregistrements vidéo, des requêtes HTTP brutes, des extraits de code ou tout autre artefact technique pertinent. Ces éléments doivent être intégrés directement dans le corps du message, les pièces jointes pouvant contenir des logiciels malveillants.

  • Impact potentiel : une description des conséquences que l'exploitation de la vulnérabilité pourrait engendrer, notamment en termes d'atteinte à la confidentialité, à l'intégrité ou à la disponibilité des données et des systèmes de Skaleet ou de ses clients.

  • Environnement technique : toute information contextuelle susceptible de faciliter la reproduction, telle que le navigateur ou le client utilisé, la version du système d'exploitation, l'URL ou le point d'entrée concerné, ou encore le compte utilisé lors de la découverte (le cas échéant, en omettant toute donnée sensible).

Traitement du signalement et divulgation coordonnée.

Skaleet accuse réception de tout signalement dans un délai de 5 jours ouvrés et informe le déclarant, dans un délai de 5 jours ouvrés supplémentaires, de la qualification retenue et, le cas échéant, du délai de correction envisagé. Le déclarant s'abstient de toute divulgation à un tiers ou au public de l’existence du signalement et de son contenu sauf accord contraire entre les parties.