Merci de nous aider à assurer la sécurité de nos produits. Ce document explique comment nous signaler une vulnérabilité de sécurité découverte dans un produit de KIDE, S. Coop. (ci-après, KIDE), et ce que vous pouvez attendre de nous par la suite.
Notre engagement
KIDE accorde une grande importance à la collaboration avec la communauté de la sécurité, les clients et les chercheurs indépendants pour identifier et corriger les vulnérabilités de ses produits. Nous nous engageons à traiter de bonne foi tout signalement reçu conformément à cette politique, sans engager de poursuites judiciaires contre les personnes qui signalent une vulnérabilité de manière responsable et dans le respect des conditions décrites ici.
Champ d’application
Cette politique s’applique aux produits connectés comportant des éléments numériques développés et commercialisés par KIDE, ainsi qu’aux composants logiciels et micrologiciels associés.
Sont exclus de cette politique les systèmes tiers qui ne sont pas exploités par KIDE, les attaques d’ingénierie sociale visant notre personnel ou nos clients, ainsi que les tests susceptibles de dégrader la disponibilité des installations en production de nos clients (par exemple, les attaques par déni de service). Si vous avez un doute quant à l’inclusion d’une découverte dans le champ d’application, signalez-la tout de même : nous l’évaluerons.
Comment signaler une vulnérabilité
Vous pouvez nous signaler une vulnérabilité par le canal suivant :
- Formulaire en ligne : disponible dans la rubrique « Sécurité » de www.kide.com, avec les champs nécessaires pour décrire votre découverte.
Dans la mesure du possible, veuillez indiquer : le produit et la version concernés ; une description du problème et de la manière dont il peut être exploité ; les étapes permettant de le reproduire ; et, si vous en disposez, des captures d’écran, des journaux ou du code de démonstration (preuve de concept).
Vous pouvez effectuer un signalement anonyme. Veuillez noter que, si nous devons vous contacter pour clarifier certains détails ou coordonner la divulgation, nous ne pourrons pas le faire si vous ne fournissez aucun moyen de contact.
Ce que vous pouvez attendre de nous
| Étape | Notre engagement |
|---|---|
| Accusé de réception | Dans un délai maximal de 3 jours ouvrables à compter de la réception de votre signalement, nous vous en confirmerons la réception et vous attribuerons un identifiant de suivi. |
| Évaluation initiale | Dans un délai maximal de 10 jours ouvrables, nous vous indiquerons si nous avons pu confirmer la vulnérabilité et quelle priorité nous lui avons attribuée. |
| Points d’avancement | Pendant que nous travaillons à la correction, nous vous tiendrons régulièrement informé de l’avancement, au moins tous les 30 jours tant que le dossier reste ouvert. |
| Résolution et divulgation | Une fois la correction disponible, nous publierons un avis de sécurité et vous en informerons, avec la mention de remerciement convenue. |
Politique d’embargo (divulgation coordonnée)
Nous vous demandons de ne pas divulguer publiquement ni partager avec des tiers les détails de la vulnérabilité avant que nous ayons publié une correction ou une mesure d’atténuation, ou avant l’expiration d’un délai de 90 jours calendaires à compter de votre signalement initial, selon la première de ces éventualités. Ce délai peut être raccourci ou prolongé d’un commun accord entre KIDE et la personne à l’origine du signalement, en fonction de la complexité de la correction et de l’existence d’une exploitation active.
Si la vulnérabilité fait l’objet d’une exploitation active ou présente un risque grave et imminent pour nos clients, KIDE pourra accélérer la publication d’un avis et des mesures d’atténuation correspondantes, même avant de disposer d’une correction définitive.
Publication de l’avis de sécurité
Une fois la correction disponible, nous publierons un avis de sécurité dans la rubrique « Avis de sécurité » de notre site web, décrivant la vulnérabilité, le produit et les versions concernés, sa gravité, ainsi que les instructions pour appliquer la correction ou la mesure d’atténuation.
Remerciements
Si vous le souhaitez, nous inclurons votre nom ou votre pseudonyme dans l’avis de sécurité publié, afin de vous remercier de votre contribution. Si vous préférez rester anonyme, nous respecterons votre décision.
KIDE ne propose aucun programme de récompense financière. La reconnaissance se limite à des remerciements publics dans le rapport de vulnérabilité, si vous souhaitez y être mentionné.
Contact
Pour toute question relative à cette politique, vous pouvez nous écrire à security@kide.com.
Dernière mise à jour : 16/09/2026
