Nos engagements
Nous corrigeons d'abord les problèmes les plus graves. Nous vous préviendrons dès le déploiement du correctif et conviendrons ensemble de la date de publication des détails.
Comment signaler
Envoyez un e-mail à security@adverant.ai. Merci d'indiquer :
- ce que vous avez trouvé et où (l'URL, la section du produit ou le composant) ;
- les étapes pour reproduire la faille, avec tout code de démonstration ou capture d'écran ;
- ce qu'un attaquant pourrait en faire, selon vous ;
- comment vous joindre, et si vous souhaitez être crédité.
Écrivez en anglais si possible. Un seul rapport clair est plus utile que plusieurs messages courts. N'incluez pas de données personnelles auxquelles vous auriez eu accès ; décrivez-les simplement.
Périmètre couvert
- adverant.ai et ses sous-domaines gérés par Adverant ;
- Adverant Nexus tel que nous l'exploitons dans notre cloud européen, y compris le répartiteur d'IA, l'authentification et le vérificateur public de registres ;
- le logiciel Nexus, les installateurs et les paquets de mise à jour pour lesquels vous disposez d'une licence.
Hors périmètre : les attaques visant nos équipes (hameçonnage, ingénierie sociale), les attaques physiques, les dénis de service, les failles nécessitant un appareil déjà compromis et les rapports de scanners automatisés sans impact démontré. L'installation propre à un client lui appartient ; merci de lui signaler tout problème, ainsi qu'à nous.
Règles de test
- Utilisez uniquement des comptes et des données qui vous appartiennent ou qui vous ont été fournis pour les tests.
- Limitez-vous au strict nécessaire pour prouver l'existence du problème. Arrêtez-vous et prévenez-nous dès que vous atteignez les données d'autrui.
- Ne modifiez ni ne supprimez aucune donnée, ne dégradez pas le service et ne conservez pas l'accès plus longtemps que nécessaire.
- Gardez les détails confidentiels jusqu'à ce que nous ayons convenu d'une date de divulgation.
Cadre de protection
Si vous agissez de bonne foi et respectez ces règles, nous considérerons vos recherches comme autorisées. Nous n'engagerons aucune poursuite judiciaire contre vous et ne vous signalerons pas aux autorités à ce titre. Si un tiers le fait, nous confirmerons que vous avez agi avec notre permission. Cela ne couvre pas les actes enfreignant la loi d'une manière que ces règles ne peuvent autoriser.
Divulgation
Nous préférons publier les détails une fois le correctif mis à la disposition de tous les utilisateurs concernés. Nous conviendrons du calendrier avec vous et ne vous demanderons pas de garder le silence plus longtemps qu'il n'est nécessaire pour protéger nos clients. En cas de désaccord, nous vous expliquerons pourquoi.
Si vous êtes client
Signalez tout incident suspect via le contact de sécurité indiqué dans votre contrat ou via l'assistance intégrée à Nexus, afin que nous puissions suivre votre plan de gestion des incidents. Pour savoir comment nous protégeons les données et quelles règles nous appliquons, consultez le centre de confiance.