Politique de divulgation des vulnérabilités

Dernière mise à jour : 5 septembre 2019

Kraken Security Labs mène régulièrement des recherches sur la sécurité d'applications, de matériels et de produits couramment utilisés. Ces recherches ont pour objectif d'informer et de protéger les utilisateurs finaux de ces services et produits. La présente politique décrit la manière dont Kraken Security Labs procède à la divulgation responsable des vulnérabilités lorsque nous découvrons des failles de sécurité dans des produits et services tiers.

Kraken Security Labs informera le fournisseur concerné de toute faille de sécurité affectant son ou ses produits et/ou service(s). La première tentative de contact s'effectuera via les coordonnées appropriées ou les mécanismes officiels indiqués sur le site Web du fournisseur. Si ces informations ne sont pas publiées, Kraken Security Labs mettra tout en œuvre pour trouver un moyen de contact adéquat. Une fois un canal de contact officiel ou approprié identifié, les informations pertinentes relatives à la vulnérabilité seront transmises au fournisseur de façon sécurisée.

Si le fournisseur n'accuse pas réception de la notification initiale dans un délai de cinq (5) jours ouvrés, Kraken Security Labs effectuera une seconde prise de contact. Si Kraken Security Labs épuise l'ensemble des moyens susmentionnés pour joindre le fournisseur, Kraken Security Labs pourra publier un avis public exposant ses conclusions quinze (15) jours ouvrés après la tentative de contact initiale.

Si une réponse du fournisseur est reçue dans les délais indiqués ci-dessus, Kraken Security Labs lui demande de préciser un délai souhaité pour la correction. Kraken Security Labs accordera au fournisseur un délai maximal de quatre-vingt-dix (90) jours calendaires pour corriger la vulnérabilité au moyen d'un correctif. À l'issue de ce délai, ou plus tôt (si le fournisseur en informe Kraken Security Labs), si la vulnérabilité a été corrigée, ou si le fournisseur ne répond pas ou n'est pas en mesure de fournir une justification raisonnable quant à l'absence de correction, Kraken Security Labs publiera un avis accessible au public comportant des recommandations d'atténuation, afin de protéger les utilisateurs finaux.

Kraken Security Labs mettra tout en œuvre pour collaborer avec les fournisseurs afin qu'ils comprennent les détails techniques et la gravité d'une faille de sécurité signalée. Si un fournisseur n'est pas en mesure de corriger une faille de sécurité particulière, ou choisit de ne pas le faire, Kraken Security Labs pourra lui proposer de collaborer afin de divulguer publiquement la faille accompagnée de solutions de contournement efficaces.

Dans le cas où Kraken Security estime approprié d'alerter immédiatement le grand public d'une vulnérabilité en raison du risque encouru par l'utilisateur final d'un produit ou d'un service, ou pour sa sécurité, Kraken Security Labs informera simultanément le fournisseur et le grand public de ses conclusions. Dans sa communication au fournisseur, Kraken Security Labs énumérera les facteurs ayant motivé la décision de publier immédiatement ses conclusions.