Vous pensez avoir trouvé une faille de sécurité dans MBI Clone, dans ses serveurs ou sur ce site ? Voici comment nous l’écrire, et ce que nous faisons ensuite.
Comment nous joindre
- Par e-mail :
Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser. , en français ou en anglais. - Par téléphone : 03 89 65 90 45 (+33 3 89 65 90 45 depuis l’étranger), les jours ouvrés.
- Le formulaire de contact convient pour un premier message, sans détail technique.
Nous n’avons pas encore de clé de chiffrement publique. Si votre signalement contient un détail sensible, dites-le dans votre premier message : nous conviendrons d’un moyen d’échange chiffré. N’y joignez pas de données personnelles.
Ce qui est concerné
- Le logiciel MBI Clone, son installateur et ses mises à jour.
- Les serveurs dont le logiciel a besoin : activation et licences, mises à jour, packs de logiciels, relevés partagés, dépôt des rapports de diagnostic.
- L’espace client, ce site et sa page d’abonnement.
Les services d’autres entreprises que nous utilisons (paiement par Stancer, messagerie de Google, hébergement chez OVH, envoi d’e-mails par Postmark), Windows lui-même et les logiciels installés par WinGet se signalent à leur éditeur.
Ce qui nous aide
La version de MBI Clone (page « À propos ») et de Windows, ce qui est touché, les étapes pour reproduire, ce qu’un attaquant pourrait obtenir, et une preuve minimale, sans donnée réelle d’un client. Dites-nous aussi comment vous recontacter, et si vous souhaitez être remercié publiquement.
Nos engagements
- Un accusé de réception sous 5 jours ouvrés.
- Une première évaluation sous 10 jours ouvrés : faille confirmée ou non, et sa gravité.
- Une correction, à titre indicatif, sous 30 jours pour une faille critique ou élevée, sous 90 jours pour une faille moyenne, avec une prochaine version pour une faille faible.
- Des nouvelles à chaque étape, et au moins tous les 30 jours tant que la faille n’est pas corrigée.
Une faille déjà exploitée passe avant tout le reste. Nous la déclarons aussi aux autorités, comme le prévoit le règlement européen sur la cyberrésilience.
Pendant vos recherches
Nous vous demandons de ne pas accéder aux données d’un autre client, de ne pas les modifier ni les garder, et de vous arrêter dès qu’une donnée d’un tiers apparaît ; de ne pas dégrader le service (pas de test de déni de service, pas d’envoi en masse) ; de ne pas recourir à la manipulation de personnes ni à une intrusion physique ; et de ne rien publier avant la correction, ou avant 90 jours après votre signalement si nous n’avons pas convenu d’une autre date.
Publication et remerciements
Quand la correction est disponible, nous publions un avis de sécurité : versions touchées, version corrigée, gravité et ce que l’utilisateur doit faire, sans détail qui aiderait à exploiter la faille. La date se convient avec vous ; elle peut être repoussée le temps que les utilisateurs installent la correction. Avec votre accord, nous vous y remercions.
Une faille d’un composant d’un autre éditeur intégré au logiciel, comme l’environnement .NET ou les outils openSeaChest, est aussi transmise à son éditeur.
Pour les outils automatiques
Ces informations sont aussi publiées au format standard security.txt, à l’adresse mbiclone.com/.well-known/security.txt. Les données des signalements sont traitées comme l’indique la page Confidentialité.