Signaler une vulnérabilité

Comment signaler

security@zetaiti.com

Écrivez à cette adresse, en anglais ou en italien. Ne publiez pas les détails — dans un ticket, un forum, sur les réseaux sociaux — avant d'avoir convenu avec nous d'une date de divulgation.

Ce qu'il faut indiquer

• le produit et sa version, et où il fonctionne (système d'exploitation, appareil, mode d'installation) ;
• en quoi consiste la vulnérabilité et ce qu'un attaquant pourrait en faire ;
• les étapes pour la reproduire : une preuve de concept, des requêtes, des journaux ou des captures d'écran ;
• si vous savez ou soupçonnez qu'elle est déjà exploitée, ou connue d'autres personnes ;
• comment vous souhaitez être cité, ou que vous préférez ne pas l'être ;
• comment vous joindre.

N'envoyez que ce qui est nécessaire pour montrer le problème. N'incluez ni données personnelles d'autres personnes ni identifiants valides ; si votre test a atteint des données qui ne sont pas les vôtres, dites-le, arrêtez-vous là et ne les conservez pas. Si vous devez envoyer quelque chose de sensible, dites-le dans un premier message sans les détails et nous conviendrons d'un moyen de le recevoir.

Et ensuite

• Accusé de réception sous 2 jours ouvrés : une personne confirme que votre signalement est arrivé.
• Première évaluation sous 5 jours ouvrés : si nous pouvons reproduire le problème, la gravité que nous lui attribuons et ce que nous allons faire.
• Nous vous tenons informé pendant que nous préparons un correctif, et vous prévenons de sa publication.

Les jours ouvrés vont du lundi au vendredi, hors jours fériés en Italie.

Divulgation coordonnée

• Merci de garder les détails confidentiels pendant 90 jours à compter de votre signalement, ou jusqu'à la publication d'un correctif si elle intervient avant. Avec le correctif, nous publions un avis de sécurité et vous êtes libre de publier aussi.
• Si un correctif demande plus de 90 jours, nous vous en expliquons la raison avant l'échéance et vous demandons plus de temps ; nous ne déplaçons pas la date sans vous le dire.
• Si une vulnérabilité est activement exploitée, nous pouvons avertir les utilisateurs plus tôt, avec ce qu'ils peuvent faire pour se protéger.
• Un avis de sécurité indique les versions concernées, la version corrigée, la gravité et ce que les utilisateurs doivent faire, et vous cite, sauf si vous ne le souhaitez pas.

Ce que couvre cette politique

Nos produits — Zetaiti Platform (le hub) avec ses applications pour téléphone, montre et ordinateur, et Vademac — et nos sites zetaiti.com et protolab.tech.

Versions prises en charge

Les correctifs de sécurité concernent la dernière version mineure de chaque produit : la ligne X.Y au numéro le plus élevé et ses versions correctives X.Y.z. Les versions mineures antérieures ne reçoivent pas de correctifs : mettez d'abord à jour vers la dernière version, puis dites-nous si le problème persiste.

Hors périmètre

• sur un hub Zetaiti Platform ou dans Vademac, ce qu'une personne connectée peut faire dans les limites des droits de son compte ou de son rôle. Un moyen de faire plus que ce que ces droits permettent, y compris par un texte qu'un agent d'IA lit (injection de prompt), entre en revanche dans le périmètre ;
• ce qu'un modèle d'IA dit ou décide de lui-même, sauf s'il amène notre produit à agir au-delà de ces droits ;
• les produits et services d'autres entreprises que nous utilisons, vers lesquels nous renvoyons ou auxquels nous nous connectons (par exemple GitHub, Cloudflare, Google, Microsoft, les fournisseurs de modèles) : signalez-les-leur, et dites-nous si notre produit est concerné ;
• une vulnérabilité dans une bibliothèque tierce sans effet démontré sur notre produit (signalez-la à ses mainteneurs) ;
• les versions qui ne reçoivent plus de correctifs ;
• les attaques qui exigent un accès physique à un appareil déverrouillé, un appareil déjà compromis (rooté, jailbreaké, infecté) ou un compte dont l'attaquant connaît déjà le mot de passe ;
• le déni de service par volume (inondation, tests de charge), le spam, ainsi que l'ingénierie sociale ou l'hameçonnage visant nos équipes ;
• les résultats de scanners automatiques sans impact démontré, le self-XSS, et l'absence d'en-têtes, de réglages TLS, de cookies ou de messagerie (SPF, DKIM, DMARC) sur nos sites sans moyen concret de l'exploiter.

Récompense et bonne foi

Pas de prime

Nous n'avons pas de programme de bug bounty et ne rémunérons pas les signalements. Nous serons heureux de vous citer dans l'avis de sécurité.

Recherche de bonne foi

Si vous agissez de bonne foi et dans le cadre de cette politique — vous ne testez que des systèmes qui vous appartiennent ou que vous êtes autorisé à tester (comme votre propre installation), vous n'accédez pas à plus de données et n'en modifiez ou n'en supprimez pas plus qu'il n'est nécessaire pour montrer le problème, vous ne perturbez aucun service et vous nous signalez le problème rapidement et en privé —, nous n'engagerons pas de poursuites contre vous pour cette recherche.

Signalements aux autorités

En vertu du règlement européen sur la cyberrésilience (règlement (UE) 2024/2847, article 14), lorsque nous avons connaissance d'une vulnérabilité activement exploitée dans l'un de nos produits, ou d'un incident grave affectant sa sécurité, nous le notifions, par la plateforme unique de signalement de l'ENISA, au CSIRT désigné comme coordinateur (pour nous, CSIRT Italia) et à l'ENISA, dans les délais fixés par le règlement, et nous informons les utilisateurs concernés. Si votre signalement fait partie d'une telle notification, nous vous le disons, et nous ne partageons que ce que la notification exige.

Avis de sécurité

Aucun publié à ce jour. Lorsqu'un correctif de vulnérabilité est publié, son avis apparaît ici, avec les versions concernées et la version corrigée, la gravité et ce que les utilisateurs doivent faire.

Contact lisible par machine : security.txt (RFC 9116).