Conformité
Divulgation responsable
Aussi appeléCoordinated Vulnerability DisclosureCVDDivulgation coordonnéesecurity.txt
En résumé
Le processus par lequel une personne qui découvre une vulnérabilité la signale en privé à l’organisme concerné, lui laisse un délai raisonnable pour la corriger, puis la rend publique de manière coordonnée. Une politique de divulgation publiée indique à qui écrire et à quelles conditions.
Divulgation responsable, en détail
Sans canal de signalement identifié, un chercheur de bonne foi qui trouve un défaut ne sait pas à qui l’écrire, et l’organisation apprend l’existence du défaut par la presse ou par un tiers malveillant. Une politique de divulgation précise l’adresse de contact, le périmètre concerné, ce qui est toléré, le délai de réponse, et l’engagement de ne pas engager de poursuites contre les signalements de bonne foi. Le fichier security.txt, normalisé par la RFC 9116, en indique l’emplacement standard sur un site.
En France, l’accès non autorisé à un système est une infraction pénale (articles 323-1 et suivants du code pénal), même sans intention de nuire. Le code de la défense prévoit toutefois un cadre de signalement à l’ANSSI pour les vulnérabilités. Une politique claire protège donc aussi bien l’organisation que le chercheur, en fixant ce qui est acceptable. Elle ne vaut pas autorisation de tester sans limite : les règles du périmètre restent à respecter. La directive NIS 2 : définition demande aux États membres de promouvoir des politiques de divulgation coordonnée des vulnérabilités. Pour une entité concernée, publier une telle politique relève de la bonne pratique, et elle s’accompagne d’un processus interne : qui reçoit les signalements, qui qualifie, qui corrige, dans quel délai, et comment on remercie et informe le chercheur.
Qu’est-ce que cela change pour vous ?
Publier une politique de divulgation est peu coûteux et transforme un risque d’annonce publique non maîtrisée en canal d’alerte précoce. Elle exige en contrepartie un processus interne qui traite les signalements reçus.
Exemple illustratif (fictif)
Par exemple, un éditeur de logiciel publie un fichier security.txt qui pointe vers une adresse dédiée. Quelques mois plus tard, un chercheur y signale un défaut d’autorisation ; il est corrigé avant toute divulgation, et le chercheur est remercié dans les notes de version.
La confusion fréquente
Croire que publier une adresse de contact suffit. Sans processus pour répondre, qualifier et corriger dans un délai annoncé, la politique est une promesse non tenue, et les chercheurs finissent par publier sans coordination.
Qui peut vous accompagner ?
- Bug bounty et VDP : la prestationQue le premier chercheur qui vous écrit trouve un interlocuteur et une réponse.
- Conformité NIS 2 : la prestationFaire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
Aller plus loin
- ArticleBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- ArticleGestion des vulnérabilités : comment prioriser les correctifs (CVSS, EPSS, KEV)Un parc compte des milliers de vulnérabilités et une équipe ne peut pas toutes les corriger. Comment choisir par où commencer avec le CVSS, l’EPSS et le catalogue KEV.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
- OutilDiagnostic de maturité NIS 212 questions, un score et un ordre de priorité. Le calcul reste dans votre navigateur.
Termes liés
- ConformitéBug bounty : définitionUn programme par lequel une organisation invite des chercheurs indépendants à rechercher des vulnérabilités dans un périmètre défini, et les rémunère pour chaque défaut valide.
- ConformitéCVE : définitionUn identifiant public et unique, de la forme CVE-2024-12345, attribué à une vulnérabilité connue dans un produit logiciel ou matériel.
- ConformitéCVSS : définitionUn système de notation standardisé qui évalue la sévérité intrinsèque d’une vulnérabilité sur une échelle de 0,0 à 10,0, à partir de critères comme le vecteur d’attaque, la complexité, les privilèges requis et l’impact.
- TechniqueZero-day : définitionUne vulnérabilité inconnue de l’éditeur ou du fabricant, ou sans correctif disponible, et que des attaquants peuvent exploiter avant qu’une protection officielle existe.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début