Politique de divulgation coordonnée
Ce que nous faisons si nous découvrons une vulnérabilité en dehors d’un mandat.
Il nous arrive de constater une faille en dehors de tout mandat — sur une application que nous n’auditons pas, ou au fil d’une recherche. Dans ce cas, nous prévenons d’abord le responsable de l’application, en privé, et nous lui laissons un délai raisonnable pour corriger. Lorsque la gravité le justifie, nous notifions également le Centre pour la Cybersécurité Belgique (CCB).
Nous ne rendons rien public, et nous ne demandons aucune contrepartie — ni paiement, ni mission, ni mise en avant. Signaler un problème de sécurité ne doit jamais servir à en vendre la correction : c’est une ligne de conduite, pas une offre commerciale.
En pratique
- Notification privée au responsable, avec un délai raisonnable pour corriger.
- Notification au Centre pour la Cybersécurité Belgique lorsque la gravité le justifie.
- Aucune divulgation publique, aucune capture ni preuve rendue publique.
- Aucune contrepartie demandée.
Ce cadre est celui que le droit belge réserve au signalement de bonne foi : des actions nécessaires et proportionnées, une notification à l’organisation concernée et au CCB, aucune divulgation publique et aucune monétisation de la démarche. Nous nous y tenons.