Sécurité

1. Signaler une vulnérabilité

Écrivez à [email protected], en français ou en anglais. Pour nous permettre d'agir vite, indiquez si possible :

• l'adresse (URL) ou le composant concerné ;
• une description de la vulnérabilité et de son impact possible ;
• les étapes qui permettent de la reproduire ;
• la manière de vous recontacter.

N'envoyez pas, dans votre message, de données personnelles ou de données de clients que vous auriez pu consulter : décrivez-les sans les reproduire.

2. Ce à quoi GD-ICT s'engage

• accuser réception de votre signalement dans les 5 jours ouvrables ;
• l'examiner et vous tenir informé de son traitement ;
• vous prévenir lorsque la vulnérabilité est corrigée ;
• ne pas engager de poursuites contre une personne qui a agi de bonne foi et dans le respect des règles de la section 3.

GD-ICT ne propose pas de programme de récompense : aucun signalement ne donne droit à une rémunération.

3. Règles à respecter

• n'accédez pas aux données d'autrui, et ne les modifiez ni ne les supprimez, au-delà du strict nécessaire pour démontrer la vulnérabilité ; si vous tombez sur des données personnelles, arrêtez-vous et signalez-le ;
• n'utilisez que des comptes qui vous appartiennent, ou que GD-ICT vous a confiés ;
• ne cherchez pas à dégrader ou interrompre le service (déni de service, envoi massif de requêtes, d'e-mails ou de SMS) ;
• n'ayez recours ni à l'ingénierie sociale envers GD-ICT ou ses clients, ni à une intrusion physique ;
• ne rendez pas la vulnérabilité publique avant sa correction, et convenez avec GD-ICT du moment de sa divulgation.

4. Hors du périmètre

Les services de tiers sur lesquels s'appuient le site et G-Welcome (hébergement, réseau de diffusion, messagerie, formulaire de contact) relèvent de leurs éditeurs : une vulnérabilité qui les touche est à signaler directement à ceux-ci. Si elle a un effet sur gd-ict.be ou G-Welcome, prévenez-nous également.

5. Mesures en place

Nous ne listons que ce que nous appliquons. Pour G-Welcome :

• hébergement dans l'Union européenne ;
• chiffrement HTTPS/TLS des échanges ;
• accès aux données de production limité aux personnes dont la fonction le justifie, et journalisé ;
• rôles et permissions dans l'application ;
• mots de passe conservés uniquement sous forme d'empreinte.

Où sont hébergées les données, et comment les récupérer : voir Hébergement et réversibilité.

6. Format lisible par machine

Ces coordonnées sont aussi publiées au format standard security.txt (RFC 9116).