Politique de divulgation coordonnée des vulnérabilités

Notre engagement

La sécurité de nos services et de nos produits est au cœur de notre métier. Si vous pensez avoir découvert une vulnérabilité, nous vous remercions de nous la signaler de manière responsable, selon les règles ci-dessous, afin que nous puissions la corriger avant toute divulgation publique.

Varden Security ne propose pas de programme de récompense financière (bug bounty). Avec votre accord, nous mentionnons volontiers votre contribution une fois la vulnérabilité corrigée.

Périmètre

Cette politique couvre :

• ●les sites varden-security.eu et varden.io ;
• ●la plateforme app.varden.io et le service Sentinel OSINT (osint.varden-security.eu) ;
• ●le logiciel des sondes Sentinel Monitoring et le moteur Sentinel fourni à nos partenaires.

Sont hors périmètre : les systèmes de nos clients, les services de nos fournisseurs (hébergement, paiement, messagerie), ainsi que les attaques par déni de service, l'ingénierie sociale, les tests physiques et l'envoi de messages non sollicités.

Comment nous signaler une vulnérabilité

Écrivez-nous à security@varden.io en indiquant :

• ●le service ou le produit concerné et sa version, si vous la connaissez ;
• ●une description de la vulnérabilité et de son impact possible ;
• ●les étapes permettant de la reproduire, avec une preuve de concept limitée au strict nécessaire ;
• ●vos coordonnées, si vous souhaitez être recontacté.

Vous pouvez écrire en français, en anglais ou en néerlandais. Si vous souhaitez nous transmettre des informations chiffrées, demandez-nous une clé par le même canal.

Règles à respecter

Pour que votre recherche reste de bonne foi, nous vous demandons :

• ●d'agir sans intention frauduleuse ni volonté de nuire ;
• ●de vous limiter aux actions strictement nécessaires pour démontrer la vulnérabilité ;
• ●de ne pas accéder, copier, modifier ou supprimer des données qui ne vous appartiennent pas, et de supprimer toute donnée obtenue par erreur ;
• ●de ne pas dégrader la disponibilité de nos services ;
• ●de nous signaler la vulnérabilité dès que possible et de ne pas la divulguer avant sa correction ou notre accord.

En Belgique, le signalement de vulnérabilités de bonne foi est encadré par la loi. Les conditions en sont précisées par le Centre pour la Cybersécurité Belgique (CCB), auquel le signalement peut également être adressé.

Comment nous traitons votre signalement

• ●nous accusons réception de votre signalement ;
• ●nous analysons la vulnérabilité et vous informons de notre évaluation ;
• ●nous corrigeons la vulnérabilité et vous tenons informé de l'avancement ;
• ●nous convenons avec vous du moment et du contenu d'une éventuelle publication.

Lorsqu'une vulnérabilité affecte un produit que nous mettons sur le marché, nous respectons les obligations de signalement prévues par le règlement européen sur la cyberrésilience (CRA), y compris auprès de l'ENISA et du CSIRT compétent.

Données personnelles

Les données personnelles que vous nous transmettez dans un signalement sont utilisées uniquement pour le traiter, conformément à notre politique de confidentialité.