Notre engagement

Nous développons des logiciels de cybersécurité destinés à des environnements IT et industriels sensibles. La sécurité de nos produits est notre responsabilité, et nous savons qu’elle bénéficie du regard de personnes extérieures. Si vous avez identifié une vulnérabilité dans l’un de nos produits, nous vous invitons à nous en informer, et nous nous engageons à traiter votre signalement avec sérieux et sans délai injustifié.

Cette politique s’adresse à toute personne, sans condition de relation contractuelle avec nous : chercheurs en sécurité, testeurs d’intrusion, équipes de sécurité de nos utilisateurs, CSIRT, intégrateurs, partenaires de recherche.

Comment nous signaler une vulnérabilité

Écrivez-nous à security@arthurkoenig.fr.

Pour nous aider à traiter votre signalement rapidement, indiquez si possible :

• le produit et, si vous la connaissez, la version concernée ;
• une description de la vulnérabilité et de son impact potentiel ;
• les étapes permettant de la reproduire ;
• votre appréciation de la gravité ;
• la manière dont vous souhaitez être crédité, ou votre souhait de rester anonyme.

Vous pouvez nous écrire en français ou en anglais. Aucun format particulier n’est exigé : un signalement imparfait vaut mieux qu’un signalement non transmis.

Ce que nous nous engageons à faire

Nous vous tiendrons informé de l’avancement du traitement, et nous vous préviendrons lorsque le correctif sera disponible. Sauf demande contraire de votre part, nous vous créditerons publiquement de la découverte lors de la publication de l’avis de sécurité correspondant.

Nous sommes une microentreprise. Ces délais sont ceux que nous pouvons tenir de façon fiable, et nous préférons annoncer des délais réalistes plutôt que d’en promettre de plus courts.

Divulgation publique

Nous appliquons le principe de la divulgation coordonnée : nous vous demandons de ne pas rendre publique une vulnérabilité avant qu’un correctif ne soit disponible et que nos utilisateurs aient été informés, afin de ne pas les exposer inutilement.

Notre pratique par défaut est une divulgation publique dans un délai de 90 jours à compter de votre signalement, ou plus tôt si le correctif est disponible avant. Si la correction demande davantage de temps, nous vous en informerons et nous conviendrons ensemble d’un calendrier. Nous ne demanderons jamais un report indéfini.

Nos produits étant déployés en environnements isolés, la diffusion des correctifs auprès de nos utilisateurs suppose un délai d’acheminement et d’application que nous prenons en compte dans ce calendrier.

Notre engagement de non-poursuite

Nous appelons votre attention sur le fait que cet engagement porte sur nos propres actions. Il ne peut pas vous exonérer de vos obligations légales à l’égard de tiers, ni des dispositions pénales applicables aux atteintes aux systèmes de traitement automatisé de données, notamment celles du code pénal français. Si vous testez un produit K-HIVE déployé chez l’un de nos utilisateurs, l’autorisation de cet utilisateur vous est indispensable : nous ne pouvons pas vous la donner à sa place.

Périmètre

Cette politique couvre les produits développés et distribués par K-HIVE. Elle ne couvre pas les infrastructures et systèmes d’information de nos utilisateurs, sur lesquels nos produits sont déployés et dont ils sont responsables, ni les composants tiers que nos produits intègrent : dans ce dernier cas, nous relaierons votre signalement auprès de l’éditeur concerné et traiterons l’incidence sur nos produits.

Nous n’exploitons pas de programme de récompense financière (bug bounty).

Nos obligations réglementaires

En tant que fabricant de produits comportant des éléments numériques au sens du règlement (UE) 2024/2847 (Cyber Resilience Act), nous sommes tenus de notifier aux autorités européennes, dans un délai de 24 heures à compter de leur connaissance, toute vulnérabilité de nos produits activement exploitée, ainsi que tout incident grave affectant leur sécurité. Cette notification s’effectue auprès du CSIRT national désigné coordinateur, le CERT-FR, via la plateforme unique de signalement gérée par l’ENISA.

Si votre signalement relève de ces cas, nous procéderons à cette notification indépendamment du calendrier de divulgation publique convenu avec vous. Nous vous en informerons. Cette notification aux autorités n’emporte pas divulgation publique : elle est encadrée par des règles de confidentialité propres.

Nous traitons également les vulnérabilités affectant les composants tiers de nos produits, conformément à nos obligations de gestion des vulnérabilités.

Données personnelles

Si vous nous communiquez des données personnelles vous concernant à l’occasion d’un signalement, nous les traitons dans le seul but de traiter ce signalement et de vous en tenir informé, sur le fondement de notre intérêt légitime à assurer la sécurité de nos produits. Vous pouvez demander à rester anonyme ; dans ce cas, seul le contenu technique de votre signalement est conservé. Vous disposez des droits prévus par le règlement (UE) 2016/679, exerçables à l’adresse de contact indiquée ci-dessus.

Fichier security.txt

Les informations de contact de la présente politique sont également publiées, conformément à la RFC 9116, à l’adresse https://arthurkoenig.fr/.well-known/security.txt.