Sécurité — fairEXA

Signaler une vulnérabilité

Si vous avez découvert une faille dans l’un de nos produits ou sur ce site, veuillez la signaler à :

Veuillez signaler les vulnérabilités exclusivement à cette adresse et non publiquement, afin que nous puissions les corriger avant qu’elles ne soient exploitées.

Ces informations sont également disponibles sous forme lisible par machine à l’adresse /.well-known/security.txt (RFC 9116).

Périmètre

la suite logicielle de l’Institut fairEXA (fairEXA Identity, Studio, Relay, Ink, Stage, Flow, Insight, Cast et Journey)
le site www.fairexa.de
les services que nous exploitons nous-mêmes pour nos clients dans le cadre d’un contrat

Les systèmes tiers sont exclus, même lorsque notre logiciel y est exploité. Dans ce cas, veuillez d’abord vous adresser à l’exploitant ; sur demande, nous pouvons volontiers faciliter la mise en relation.

Ce dont nous avons besoin

Pour faciliter le traitement de votre signalement, veuillez fournir :

une description de la vulnérabilité et de ses conséquences possibles
le produit et la version concernés, ou l’URL concernée
des instructions pas à pas permettant de la reproduire
en option : journaux, captures d’écran, preuve de concept
vos coordonnées, en précisant si vous souhaitez être mentionné(e) dans nos remerciements

Les signalements en français, en allemand ou en anglais sont les bienvenus.

Ce que vous pouvez attendre de nous

Étape	Délai
Accusé de réception	sous 3 jours ouvrés
Première évaluation (validité, gravité)	sous 10 jours ouvrés
Point d’étape pendant le traitement	au moins tous les 14 jours
Divulgation coordonnée	en règle générale sous 90 jours après réception

Nous vous tenons informé(e) de l’avancement et convenons avec vous du moment d’une éventuelle publication. Avec votre accord, nous pouvons vous remercier publiquement en mentionnant votre nom ; vous pouvez également rester anonyme.

Obligations légales de notification

En tant que fabricant de produits comportant des éléments numériques, nous sommes soumis au Cyber Resilience Act (règlement (UE) 2024/2847). Lorsque nous avons connaissance d’une vulnérabilité activement exploitée ou d’un incident de sécurité grave, nous le notifions à l’ENISA et au CSIRT compétent conformément à l’art. 14 du CRA — sous 24 heures sous forme d’alerte précoce, sous 72 heures sous forme de notification de vulnérabilité. Nous ne transmettons pas vos données personnelles dans ce cadre.

Règles pour les recherches en sécurité

Nous n’engagerons aucune poursuite contre les personnes qui agissent de bonne foi et respectent les règles suivantes :

aucune atteinte à la disponibilité (pas de DoS, pas de tests de charge)
aucun accès aux données d’autrui au-delà de ce qui est nécessaire à la démonstration — en particulier aucune donnée d’examen ni donnée personnelle
aucune modification ni suppression de données
pas d’ingénierie sociale, pas d’accès physique, pas d’hameçonnage visant nos collaborateurs ou nos clients
aucune publication avant la date convenue

Cet engagement ne s’applique qu’aux systèmes relevant de notre périmètre. Nous ne pouvons toutefois accorder aucune immunité en cas d’infraction à la législation applicable.