RFC 9116 · Safe Harbor Directive
Politique de Divulgation Responsable (VDP)
BLTECH valorise et soutient le travail éthique de la communauté des chercheurs en sécurité. Cette politique formalise notre engagement envers la transparence et définit les règles d'engagement pour un signalement coordonné et bienveillant.
§ 1. Engagement Safe Harbor (Protection Légale)
Si vous menez vos activités de recherche en conformité stricte avec les directives énoncées ci-dessous, BLTECH s'engage formellement et irrévocablement à :
- Reconnaissance de légitimité : Considérer votre démarche comme autorisée et légitime au sens du Code Pénal et des réglementations internationales en matière de cybersécurité.
- Absence de poursuites : Ne pas intenter d'action en justice, civile ou pénale, à votre encontre ni solliciter l'ouverture d'une enquête judiciaire.
- Collaboration technique directe : Travailler conjointement avec vous pour comprendre, reproduire et corriger rapidement la vulnérabilité signalée.
- Remerciements publics : Citer formellement votre nom ou pseudonyme sur notre registre public des contributeurs éthiques (Hall of Fame), sous réserve de votre consentement préalable.
§ 2. Règles d'Engagement & Bonnes Pratiques
Pour bénéficier de la protection Safe Harbor, chaque chercheur doit impérativement respecter les règles suivantes :
- Intégrité des données : Ne jamais altérer, détruire, supprimer ou exfiltrer des données appartenant à BLTECH, à nos partenaires ou à nos clients finaux.
- Preuve de concept non destructive : Limiter les interactions au strict minimum requis pour établir la faisabilité technique de l'anomalie (PoC minimal).
- Interdiction des attaques de déni de service : Ne mener aucune attaque par déni de service (DDoS/DoS), ni test de saturation de bande passante ou de mémoire.
- Exclusion de l'ingénierie sociale : Ne recourir à aucun procédé d'ingénierie sociale (phishing, vishing), d'intrusion physique ou de compromission de compte tiers.
- Délai de divulgation coordonnée : Accorder un délai raisonnable de 90 jours à compter de la confirmation de réception pour permettre le déploiement du correctif avant toute divulgation publique.
§ 3. Procédure de Signalement Sécurisée
Transmettez vos rapports techniques détaillés par courrier électronique sécurisé à notre équipe de sécurité opérationnelle :
Contenu attendu du rapport :
• URL ou composant concerné et vecteur d'attaque identifié.
• Étapes précises et ordonnées de reproduction du scénario (script ou capture sans donnée sensible).
• Estimation de l'impact opérationnel selon le référentiel CVSS v3.1.
• Vos coordonnées (nom, handle ou pseudonyme) pour le suivi et les remerciements.
