Politique de sécurité et de signalement des vulnérabilités

1. Engagement

C.R.C. Pro applique une démarche proportionnée de sécurité, de prévention, de correction et de transparence. Les mesures détaillées restent confidentielles lorsqu’une publication augmenterait le risque.

2. Périmètre

Le signalement peut concerner les domaines publics exploités par C.R.C. Pro et leurs sous-domaines. Les produits en prélancement peuvent volontairement répondre en 404 ou 403 sur leurs routes sensibles ; ce confinement est une mesure de sécurité et non une anomalie.

3. Contact

Courriel : contact@crcpro.fr · Objet recommandé : Signalement de sécurité.

Indiquez le domaine, la route, la date, des étapes de reproduction limitées, l’impact estimé et un moyen de contact. N’incluez ni secret ni donnée personnelle ; demandez un canal protégé si leur transmission est absolument nécessaire.

4. Conduite attendue

• Agir de bonne foi et limiter les tests au strict nécessaire.
• Ne pas accéder, modifier, télécharger ou supprimer les données d’autrui.
• Ne pas perturber la disponibilité ni contourner une authentification pour démontrer un impact.
• Ne pas utiliser de technique destructive, de déni de service ou d’ingénierie sociale.
• Ne pas divulguer publiquement avant un délai raisonnable de correction et de coordination.

5. Traitement du signalement

C.R.C. Pro accuse réception, qualifie le risque, préserve les preuves nécessaires, corrige ou confine la surface puis informe le déclarant de l’état lorsque cela est possible.

La surveillance peut générer une alerte et préparer un dossier. La qualification d’une violation, la décision de notification à la CNIL et l’information éventuelle des personnes sont réalisées manuellement par le responsable de traitement.

6. Reconnaissance

Aucune rémunération ni programme de bug bounty n’est promis. Une reconnaissance publique peut être proposée avec l’accord du déclarant lorsque le signalement respecte cette politique.

7. Observatoire de confiance

L’Observatoire de confiance publie uniquement des contrôles non sensibles, datés et limités à leur périmètre. Les preuves techniques détaillées restent privées.

Version 1.0 — entrée en vigueur le 15 juillet 2026.