Conformément au règlement européen n° 2024/2847 (Cyber resilience Act), Praxedo fournit la présente politique de divulgation coordonnée des vulnérabilités (« cette politique CVD »).

Chez Praxedo, nous considérons la sécurité de nos systèmes et des données de nos clients comme une priorité absolue. Cependant, malgré nos contrôles de sécurité rigoureux et nos efforts continus, des vulnérabilités peuvent toujours survenir.

Si vous découvrez une vulnérabilité de sécurité dans l’un de nos actifs entrant dans le périmètre, nous vous encourageons à nous en informer le plus rapidement possible afin que nous puissions prendre des mesures immédiates pour y remédier.

Périmètre de cette politique CVD

• Dans le périmètre : *.praxedo.com, API principales, applications mobiles Praxedo.
• Hors périmètre : services tiers, environnements de pré-production ou de test, et tout autre domaine, service ou actif non explicitement listé dans la section « Dans le périmètre ».

Veuillez suivre les instructions suivantes

• Signaler vos découvertes : envoyez votre découverte par e-mail à disclosure@praxedo.net. Veuillez vous assurer que votre rapport est soumis en anglais ou en français.
• Agir de manière responsable : n’exploitez pas la vulnérabilité ou le problème que vous avez découvert, par exemple en téléchargeant plus de données que strictement nécessaire pour démontrer la preuve de concept, ou en modifiant ou supprimant des données.
• Maintenir la confidentialité : ne divulguez pas le problème publiquement ou à un tiers tant qu’il n’a pas été résolu par notre équipe.
• Éviter les tests destructifs : n’effectuez pas d’attaques de sécurité physique, d’ingénierie sociale, d’attaques par déni de service distribué (DDoS), de spam ou d’attaques sur des applications tierces.
• Fournir des informations claires : incluez suffisamment de détails pour nous permettre de reproduire le problème (par exemple, l’URL ou l’adresse IP ciblée, les étapes de la preuve de concept, les composants concernés). Les problèmes complexes peuvent nécessiter une explication technique détaillée.

Ce que nous promettons

• Réponse rapide : nous accuserons réception de votre rapport dans un délai de 48 heures ouvrées et ferons des efforts raisonnables pour fournir une évaluation initiale et un délai estimé de résolution dans les 8 jours ouvrés.
• Protection juridique (Safe Harbor) : si vous suivez strictement ces directives de bonne foi, Praxedo n’engagera pas de poursuites judiciaires à votre encontre concernant vos activités de recherche en sécurité menées dans le cadre de cette politique. Vous devez nous contacter pour obtenir des éclaircissements avant de vous engager dans une conduite qui, selon vous, pourrait être incompatible avec ou non couverte par cette politique CVD. Gardez à l’esprit que nous ne sommes pas en mesure d’autoriser la recherche en sécurité sur des infrastructures tierces, et qu’un tiers n’est pas lié par cette déclaration de protection juridique.
• Confidentialité : nous traiterons votre rapport de manière confidentielle et ne partagerons pas vos données personnelles avec des tiers sans votre autorisation explicite.
• Mises à jour : dans la mesure du possible, nous vous tiendrons informé de nos progrès vers la résolution de la vulnérabilité.
• Reconnaissance publique : en guise de remerciement, nous publierons votre nom en tant que découvreur du problème, à condition que vous ayez donné votre consentement dans votre e-mail initial, si et quand nous divulguerons publiquement le problème.

Nous nous efforçons de résoudre tous les problèmes signalés le plus rapidement possible et accueillons favorablement les efforts de collaboration vers une divulgation publique coordonnée.