Politique de divulgation

Périmètre

Cette politique couvre uniquement les sites web dont le fichier /.well-known/security.txt renvoie vers cette page.

Sont hors périmètre : la messagerie, les réseaux, les postes de travail et les systèmes internes des propriétaires de ces sites, ainsi que les services de tiers (hébergeurs, CDN, outils SaaS, réseaux sociaux). Les signalements hors périmètre ne sont pas traités.

Règles

• Pas de déni de service, de test de charge ni de scan automatisé massif.
• Pas d’ingénierie sociale, de phishing ni d’intrusion physique.
• Ne consultez, ne modifiez et ne supprimez aucune donnée au-delà de ce qui est strictement nécessaire pour démontrer la faille.
• Ne publiez pas la faille avant sa correction.

Cette politique ne constitue pas une autorisation de tester les systèmes concernés. WNG SA n’est pas propriétaire des sites de ses clients et ne peut prendre aucun engagement juridique en leur nom.

Pas de récompense

Il n’existe aucun programme de bug bounty. Aucun signalement ne donne lieu à une rémunération, quelle que soit sa gravité. Les demandes de paiement restent sans réponse.

Signalements non retenus

• En-têtes HTTP de sécurité manquants, sans exploitation démontrée.
• Configuration SPF, DKIM, DMARC ou DNSSEC.
• Divulgation de version ou de bannière logicielle.
• Configuration TLS (suites de chiffrement, versions de protocole) sans attaque praticable.
• Clickjacking sur des pages sans action sensible, self-XSS, CSRF sur la déconnexion.
• Absence de limitation de débit, énumération d’utilisateurs sans impact démontré.
• Résultats bruts de scanners automatiques, sans vérification manuelle.

Traitement

Chaque signalement dans le périmètre est examiné par l’équipe technique de WNG SA. Nous vous recontactons uniquement si des précisions sont nécessaires et si vous avez indiqué une adresse e-mail. Aucun délai de réponse ou de correction n’est garanti.

Protection des données

Le contenu du formulaire est transmis par e-mail à WNG SA (Suisse) et n’est pas enregistré sur ce serveur. Votre adresse IP n’est pas jointe au signalement ; elle est utilisée sous forme hachée, pendant une heure au plus, pour limiter les abus. Le nom et l’adresse e-mail sont facultatifs et servent uniquement au suivi du signalement.

Ce site utilise un seul cookie de session, technique (protection du formulaire, langue). Aucun outil de mesure d’audience, aucune ressource chargée chez un tiers.