Politique de divulgation des vulnérabilités

Vous avez découvert une vulnérabilité dans un système de Fluxive ? Signalez-la-nous. Ce document décrit ce que vous pouvez signaler, comment procéder, dans quels délais nous répondons et quels engagements nous prenons envers vous. Nous traitons chaque signalement avec sérieux et ne présumons pas de mauvaises intentions.

1. Champ d’application

La présente politique s’applique aux systèmes exploités par Fluxive elle-même :

• fluxive.be et ses sous-domaines
• la plateforme Fluxive Housekeeping
• les autres services en ligne proposés par Fluxive en son nom propre

2. Comment signaler une vulnérabilité ?

Envoyez votre signalement à security@fluxive.be, en français, en néerlandais ou en anglais. Nous vous répondons personnellement le même jour ouvrable, ou le jour ouvrable suivant si votre signalement nous parvient en dehors des heures de bureau ou le week-end.

Vous pouvez faire votre signalement en deux temps : d’abord brièvement (quel système, le problème en quelques phrases), ensuite de manière complète. Un signalement complet mentionne le système ou l’adresse concernés, une description, les étapes pour reproduire le problème, votre estimation de l’impact, ainsi que la date et l’heure de la découverte. Des captures d’écran ou un court enregistrement sont utiles.

N’envoyez pas de données à caractère personnel de tiers si ce n’est pas nécessaire. Si un seul enregistrement suffit à démontrer le problème, n’en envoyez qu’un.

Si vous souhaitez aussi bénéficier de la protection légale décrite au point 6, signalez également la vulnérabilité au Centre pour la Cybersécurité Belgique (CCB), à l’adresse vulnerabilityreport@ccb.belgium.be et selon la procédure décrite sur ccb.belgium.be/cert/vulnerability-reporting-ccb. La loi exige alors une notification simplifiée dans les 24 heures et une notification complète dans les 72 heures suivant la découverte, chacune adressée à la fois à nous et au CCB.

3. Ce que vous pouvez attendre de nous

• Nous accusons réception personnellement de chaque signalement le même jour ouvrable (voir le point 2). Vous recevez une première réponse sur le fond dans les 5 jours ouvrables.
• Nous vous indiquons si nous confirmons la vulnérabilité et, le cas échéant, ce que nous entreprenons et selon quel calendrier.
• Nous vous tenons informé jusqu’à la correction de la vulnérabilité.
• Fluxive est une petite entreprise. Nous ne promettons pas un suivi 24 h/24 et 7 j/7, mais nous nous engageons à répondre dans ces délais.

4. Publication

Ne rendez pas le problème public avant que nous ayons pu le corriger. Nous demandons pour cela un délai de 90 jours au maximum à compter de votre signalement. S’il est corrigé plus tôt, vous pouvez publier dès que nous le confirmons. Si nous avons besoin de plus de temps, nous vous le demandons et nous vous expliquons pourquoi. Nous n’utilisons pas ce délai pour étouffer un problème.

Si vous avez aussi fait un signalement au CCB, toute publication exige en outre l’accord du CCB. Notre accord ne le remplace pas. Si vous publiez sans l’accord du CCB, vous perdez la protection légale décrite au point 6.

5. Ce que nous vous demandons de ne pas faire

• Pas de déni de service, de tests de charge ni de scans automatisés perturbant le service.
• Pas d’ingénierie sociale, d’hameçonnage ni d’approche du personnel, des clients ou des fournisseurs.
• Pas d’accès physique aux bâtiments ni aux équipements.
• Ne pas aller au-delà de ce qui est nécessaire pour démontrer la vulnérabilité : ne modifiez ni n’effacez de données, ne téléchargez pas de données de tiers, ne conservez pas d’accès.
• Ne pas examiner les systèmes de nos clients (voir le point 1).

6. Cadre juridique

Il s’agit de la politique de Fluxive, et non d’un avis juridique. En cas de doute sur votre propre situation, consultez un avocat.

Notre autorisation. Si vous restez dans les limites des points 1 et 5, vous avez notre autorisation de rechercher des vulnérabilités dans les systèmes visés au point 1 et de nous les signaler. C’est important : le droit pénal belge punit notamment le fait d’accéder à un système informatique sans y être autorisé. Notre autorisation couvre la recherche et la démonstration d’une vulnérabilité, et non la consultation, la copie ou la conservation de données de tiers au-delà du nécessaire. Nous ne pouvons autoriser que ce qui nous appartient, ce qui exclut les systèmes de nos clients, les plateformes de nos fournisseurs d’hébergement et de logiciels, ainsi que les communications de tiers.

Nos engagements. Fluxive n’engage aucune procédure civile et ne dépose pas plainte contre la personne qui signale de bonne foi et respecte la présente politique. Si nous devons notifier une fuite de données à l’Autorité de protection des données ou informer des clients, nous le ferons. Ce n’est pas une plainte contre vous. Les poursuites pénales relèvent du ministère public et du juge, et non de Fluxive.

La procédure légale. Indépendamment de cette politique, le droit belge prévoit un régime légal pour les personnes qui signalent une vulnérabilité : les articles 22 et 23 de la loi du 26 avril 2024 (la loi NIS2). Il s’applique aussi aux petites entreprises comme Fluxive. La personne qui signale via le CCB et respecte toutes les conditions ne commet pas, selon cette loi, d’infraction de piratage, d’interception de communications ou de violation du secret professionnel. Les conditions comprennent notamment : agir sans intention frauduleuse ni dessein de nuire ; notifier brièvement dans les 24 heures et complètement dans les 72 heures, à nous et au CCB ; ne pas aller au-delà de ce qui est nécessaire et proportionné ; ne rien publier sans l’accord du CCB. Les conditions complètes figurent sur ccb.belgium.be/cert/vulnerability-reporting-ccb. C’est en fin de compte la justice qui décide si elles sont remplies.

Vous pouvez combiner notre politique et la procédure légale. Si le CCB nous contacte au sujet de votre signalement, nous coopérerons.

Ces deux cadres ne protègent qu’en droit belge. Si des systèmes se trouvent en tout ou en partie à l’étranger, le droit étranger peut aussi s’appliquer.

7. Récompense

Fluxive n’a pas de programme de bug bounty et ne verse aucune récompense pour les signalements. Nous préférons le dire d’emblée. En revanche, si vous le souhaitez, nous vous citons nommément une fois la vulnérabilité corrigée.

8. Contact