Sécurité

Signaler une vulnérabilité de sécurité

Si vous avez trouvé une faille dans euphile.eu ou dans l’un des produits de la plateforme, dites-le-nous. Nous lisons chaque signalement, nous répondons à chaque personne qui nous écrit et nous reconnaissons publiquement votre contribution une fois le problème corrigé.

Votre signalement

Les champs marqués d’un * sont obligatoires. Écrivez en anglais si vous le pouvez. Nous lisons aussi les signalements dans toutes les langues de l’UE.

Une ligne, par exemple : XSS stockée dans le champ du nom du projet.

L’URL, l’hôte, le point de terminaison de l’API, la version de l’application ou le fichier où le problème apparaît.

Quelle est la faille, et où se trouve-t-elle ?

Des étapes numérotées que nous pouvons suivre, avec les requêtes et les réponses utiles.

Que pourrait en faire un attaquant, et au détriment de qui ?

Par exemple CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Un lien privé vers une vidéo, des captures d’écran ou un script. N’incluez pas les données d’autres personnes.

Cela nous aide à distinguer vos tests d’une attaque dans nos journaux.

À propos de vous

Nous l’utilisons uniquement pour vous contacter au sujet de ce signalement.

Laissez vide pour utiliser le nom ci-dessus.

Ce site ne conserve aucune copie de votre signalement. Il est transmis directement à notre équipe de sécurité, qui ne le conserve que le temps nécessaire pour traiter le problème et reconnaître votre contribution.

Les règles

Version 1, en vigueur depuis le 17 octobre 2026.

Ce que vous pouvez tester

  • euphile.eu et tous les services sous euphile.eu : les applications, les consoles d’administration et les API.
  • Les dix produits de la plateforme, y compris leurs applications de bureau et leurs compléments, dans leur dernière version publiée.
  • Tout autre système que nous exploitons et qui contient des données de clients.

Ce qui est hors périmètre

  • Les services exploités par des tiers et que nous ne faisons qu’utiliser. Adressez vos signalements à leur propriétaire.
  • Le déni de service, les tests de charge et tout test qui ralentit ou interrompt le service pour les autres.
  • L’ingénierie sociale, le hameçonnage et les attaques physiques contre notre personnel, nos clients ou nos bureaux.
  • Les résultats de scanners automatiques sans impact démontré et exploitable.
  • L’absence d’en-têtes de sécurité, d’attributs de cookies ou d’enregistrements d’authentification des e-mails, sauf si vous démontrez une attaque concrète.
  • Le self-XSS, le clickjacking sur des pages sans action sensible et la divulgation des versions de logiciels.
  • Les prompts qui font dire à un modèle d’IA quelque chose d’indésirable, sauf s’ils franchissent une frontière de sécurité : les données d’un autre client, un secret ou une action que l’utilisateur n’a pas le droit d’effectuer.

Comment tester

  • Utilisez uniquement des comptes qui vous appartiennent, ou des comptes dont le propriétaire vous a donné une autorisation écrite.
  • Si vous accédez à des données qui ne sont pas les vôtres, arrêtez-vous. Ne les copiez pas, ne les conservez pas et ne les partagez pas, et indiquez-le dans votre signalement.
  • Faites uniquement ce qui est nécessaire pour prouver le problème : aucune modification ni suppression, aucune persistance et aucun déplacement vers d’autres systèmes.
  • Limitez le trafic automatisé à moins de 5 requêtes par seconde.
  • Ne partagez les détails avec personne jusqu’à la publication d’un correctif ou jusqu’à 90 jours après votre signalement, selon ce qui survient en premier. Nous pouvons convenir ensemble d’une autre date.
  • Ne demandez pas de paiement en échange de la non-divulgation. C’est de l’extorsion, pas de la recherche.

Nos engagements

  • Nous accusons réception sous 2 jours ouvrés.
  • Nous envoyons une première évaluation, avec notre niveau de gravité, sous 5 jours ouvrés.
  • Nous vous donnons des nouvelles au moins une fois par mois jusqu’à la résolution du problème.
  • Nous vous prévenons lorsque le correctif est publié, et nous convenons avec vous de la date de publication de l’avis.
  • Avec votre accord, nous vous citons nommément dans l’avis et dans les remerciements.

Protection juridique

  • Si vous agissez de bonne foi et respectez ces règles, nous considérons votre recherche comme autorisée. Nous n’engagerons aucune action en justice contre vous à ce titre, et nous ne soutiendrons personne qui le ferait.
  • Si un tiers engage une action contre vous pour une recherche menée selon ces règles, nous ferons savoir que votre recherche était autorisée.
  • Cela s’applique aux systèmes que nous possédons et exploitons. Nous ne pouvons pas autoriser des tests sur des systèmes qui appartiennent à quelqu’un d’autre.

Récompenses

  • Avec votre accord, tout signalement valide est reconnu publiquement.
  • Pour une découverte originale de gravité élevée ou critique, nous pouvons proposer une récompense financière. Nous décidons s’il y a lieu d’en proposer une, et de son montant, en fonction de l’impact et de la qualité du signalement. Aucune récompense n’est garantie.
  • Lorsque plusieurs personnes signalent le même problème, c’est le premier signalement complet qui compte.
  • Nous ne pouvons pas verser de récompense lorsque la loi l’interdit, ni à quiconque a enfreint ces règles.