Politique de divulgation des vulnérabilités (VDP)

1 Introduction

Chez Scatter Instruments, la sécurité de nos systèmes et la protection des données de nos clients sont une priorité absolue. Nous apprécions le rôle des chercheurs en sécurité indépendants qui nous aident à maintenir un haut niveau de sécurité.

Nous nous engageons à collaborer avec la communauté de la sécurité pour corriger les vulnérabilités vérifiées de manière rapide et responsable.

2 Protection juridique (Safe Harbor)

Scatter Instruments n'engagera pas de poursuites contre les personnes qui découvrent et signalent des vulnérabilités conformément à cette politique. Nous considérons la recherche en sécurité menée dans ce cadre comme autorisée.

Pour bénéficier de cette protection, vous devez :

• Respecter toutes les règles et consignes de cette politique
• Ne pas porter atteinte à la vie privée ou à la sécurité de nos clients et de leurs données
• Ne perturber ni dégrader nos services en aucune façon
• Agir de bonne foi pour éviter les atteintes à la vie privée, la destruction de données et l'interruption de nos services

3 Périmètre

Cette politique s'applique aux sites et services publics suivants appartenant à Scatter Instruments :

Systèmes inclus

• scatterinstrumentsonline.com
• www.scatterinstrumentsonline.com
• Tout autre sous-domaine de scatterinstrumentsonline.com

Systèmes et actions exclus

Tout service non explicitement inclus est hors périmètre. Les actions suivantes sont strictement interdites :

• Tests sur des services tiers (prestataires de paiement, outils d'analyse, widgets de réseaux sociaux)
• Attaques physiques contre nos locaux ou équipements
• Ingénierie sociale (phishing, vishing) visant nos employés, sous-traitants ou clients
• Attaques par déni de service (DoS ou DDoS)
• Publication de spam ou utilisation d'outils automatisés pour explorer agressivement notre site
• Accéder à des données qui ne vous appartiennent pas, les modifier ou les exfiltrer

4 Comment signaler une vulnérabilité

Si vous pensez avoir trouvé une vulnérabilité de sécurité, envoyez votre signalement par e-mail à contact@scatterinstruments.com.

Pour les informations sensibles, nous vous invitons à chiffrer votre signalement avec notre clé PGP, disponible dans notre fichier security.txt.

Un bon signalement comprend :

• Un titre clair et descriptif
• Le type de vulnérabilité et son impact potentiel
• L'URL complète ou la ressource où la vulnérabilité a été découverte
• Des instructions détaillées, étape par étape, pour reproduire le problème
• Tout code de preuve de concept, capture d'écran ou enregistrement d'écran

5 Notre engagement

Lorsque vous signalez une vulnérabilité conformément à cette politique, nous nous engageons à :

• Accuser réception de votre signalement sous 2–3 jours ouvrés
• Vous fournir un interlocuteur et vous tenir informé de nos avancées
• Examiner et valider votre signalement
• Corriger les vulnérabilités vérifiées dès que raisonnablement possible
• Ne pas divulguer publiquement les détails de la vulnérabilité avant la mise en place d'un correctif

6 Récompenses et reconnaissance

Bien que Scatter Instruments ne propose pas actuellement de primes financières (bug bounty), nous sommes profondément reconnaissants des contributions de la communauté.

Pour les signalements vérifiés et recevables, nous proposons, avec votre accord, une reconnaissance publique dans notre tableau d'honneur des chercheurs en sécurité.