Politique de divulgation coordonnée des vulnérabilités

Champ d'application

Cette politique s'applique à tous les produits de Telefonbau Behnke GmbH pendant leur période de support. Elle couvre les micrologiciels, les logiciels et les services, ainsi que les composants tiers qu'ils contiennent. Nos sites web et notre informatique interne n'en font pas partie. Vous pouvez néanmoins nous les signaler à security@behnke.support.

Comment signaler

• Via le formulaire sur https://security.behnke.support. Vous pouvez signaler de manière anonyme.
• Ou par e-mail à security@behnke.support. Merci de chiffrer votre message avec notre clé OpenPGP. Elle est accessible depuis la page de signalement et depuis notre fichier security.txt.

Indiquez le produit et sa version, décrivez le problème et les étapes pour le reproduire, et précisez l'impact constaté. Nous ne pouvons pas traiter de simples listes de numéros CVE ni des résultats de scanner non vérifiés.

Nos engagements

Si vous nous indiquez vos coordonnées :

• Vous recevez un accusé de réception personnel sous 5 jours ouvrés.
• Sous 10 jours ouvrés, vous recevez une réponse sur le fond : confirmé, non confirmé avec justification, ou un point d'étape avec la date du suivant.
• Ensuite, nous vous informons au moins tous les 10 jours ouvrés jusqu'à la clôture du signalement.

Les jours ouvrés sont du lundi au vendredi, hors jours fériés légaux de la Sarre (Allemagne).

Nous convenons avec vous de la date de publication. Nous publions un avis de sécurité au plus tard 90 jours après avoir confirmé la vulnérabilité. Si aucune correction n'est possible d'ici là, nous pouvons prolonger ce délai une fois de 90 jours au maximum, en coordination avec le CERT-Bund (BSI).

Ces délais ne s'appliquent pas aux signalements anonymes, car nous ne pouvons pas vous joindre. Vous pouvez suivre l'état d'avancement grâce à votre lien de suivi.

Ce que nous attendons de vous

• N'accédez aux données que dans la mesure nécessaire pour démontrer le problème. Ne modifiez ni ne supprimez aucune donnée.
• Ne perturbez pas le service d'autrui. Ne testez que sur des installations qui vous appartiennent ou pour lesquelles vous avez une autorisation.
• Pas d'ingénierie sociale, pas d'attaques physiques, pas de déni de service.
• Ne publiez rien avant la date convenue.

Engagement de non-poursuite

Nous n'engagerons aucune action en justice contre une personne qui recherche et signale de bonne foi, dans le cadre de cette politique, pour ces recherches et ce signalement.

Composants tiers

Si le problème se situe dans un composant que nous utilisons, nous le signalons à son fabricant ou à ses mainteneurs et partageons notre correctif avec eux. Nous ne transmettons votre nom qu'avec votre accord.

Vulnérabilités activement exploitées

Si une vulnérabilité est activement exploitée, nous la notifions conformément à l'article 14 du règlement (UE) 2024/2847 (Cyber Resilience Act). Nous coordonnons alors aussi sa divulgation avec le CSIRT compétent.

Avis de sécurité

Les avis de sécurité publiés sont disponibles sur https://security.behnke.support/fr/advisories. Ils sont également disponibles au format lisible par machine CSAF 2.0 sous /.well-known/csaf/.

Récompenses

Nous n'avons pas de programme de bug bounty et ne versons pas de récompenses.