Confiance
Politique de divulgation responsable
Un cabinet qui demande à ses clients d’accepter d’être testés doit accepter de l’être aussi. Cette page décrit comment nous recevons un signalement, et comment nous en émettons un.
Contact : security@reconmind.frFichier machine : /.well-known/security.txt
Signaler une vulnérabilité sur nos services
- 1Écrivez à security@reconmind.fr avec un objet explicite. Chiffrez le contenu si la vulnérabilité est sensible : nous vous transmettons une clé sur demande.
- 2Décrivez le composant concerné, les étapes de reproduction, et l’impact tel que vous le comprenez.
- 3Joignez les éléments utiles : requête, réponse, capture. Sans données personnelles de tiers.
- 4Nous accusons réception sous 3 jours ouvrés et vous indiquons notre qualification.
- 5Nous vous tenons informé jusqu’à la correction, puis convenons avec vous d’une éventuelle publication.
Ce que nous garantissons
- Accusé de réception sous 3 jours ouvrés
- Qualification et retour argumenté, y compris en cas de refus
- Aucune action en justice contre un signalement de bonne foi respectant cette politique
- Mention publique de votre contribution si vous le souhaitez
- Aucune obligation de confidentialité imposée au-delà du délai de correction convenu
Nous ne versons pas de récompense financière : ce site n’est pas un programme de bug bounty. Nous le disons clairement plutôt que de laisser l’ambiguïté.
Ce qui est autorisé, et ce qui ne l’est pas
Ces limites protègent nos utilisateurs et nos clients. Un test qui les dépasse sort du cadre de cette politique et de la protection qu’elle offre.
Autorisé
- Tests sur nos domaines publics, à un rythme raisonnable
- Recherche de défauts de configuration, d’en-têtes et d’exposition
- Tests d’authentification sur des comptes que vous avez créés
- Analyse du code public que nous publions
Interdit
- Tests de déni de service ou de saturation
- Accès, modification ou extraction de données d’autrui
- Ingénierie sociale, hameçonnage de nos collaborateurs ou accès physique
- Tests sur l’infrastructure de nos clients, jamais couverte par cette politique
- Publication d’une vulnérabilité avant correction ou accord sur un calendrier
Que faisons-nous d’une vulnérabilité trouvée hors mission ?
Il arrive qu’une veille technique ou un travail de recherche fasse apparaître une vulnérabilité chez un tiers. Notre conduite dans ce cas est décrite ci-dessous.
Contact direct, d’abord
Nous cherchons le canal officiel (security.txt, programme de divulgation, contact sécurité) et signalons sans aucune publication préalable.
Pas d’exploitation au-delà du nécessaire
La preuve se limite à ce qui démontre l’existence du défaut. Aucune donnée de tiers n’est consultée, extraite ni conservée.
Délai raisonnable et discuté
Nous proposons un calendrier de correction et l’ajustons selon la complexité. Une publication éventuelle reste convenue, jamais imposée.
Rien sur nos clients
Aucune vulnérabilité découverte en mission n’est publiée, citée ou utilisée en exemple sans l’accord écrit du client concerné.
Dernière mise à jour de cette politique : 8 novembre 2026. Les modifications substantielles sont datées sur cette page.