Vous avez trouvé une faille ? Merci.

Nous testons les systèmes des autres : nous devons accepter que l’on teste les nôtres. Si vous pensez avoir découvert une vulnérabilité dans un produit rootzero, SpectrAI ou Thucy Lab, ou sur ce site, écrivez-nous.

Comment signaler

Envoyez un email à security@rootzero.eu avec :

• le produit ou l’URL concernés ;
• la description de la vulnérabilité et son impact potentiel ;
• les étapes de reproduction et la preuve (requêtes, réponses, captures) ;
• vos coordonnées si vous souhaitez être recontacté ou remercié.

Notre fichier security.txt (RFC 9116) reprend ces informations.

Nos engagements

• Accuser réception de votre signalement et vous tenir informé de son traitement.
• Ne pas engager de poursuites contre une recherche menée de bonne foi et dans le respect des règles ci-dessous.
• Corriger dans un délai proportionné à la gravité, et vous prévenir lorsque c’est fait.
• Vous créditer publiquement si vous le souhaitez.

Règles de bonne foi

• Ne testez que vos propres comptes et données ; n’accédez pas aux données d’autres utilisateurs au-delà du strict nécessaire pour démontrer le problème.
• Pas de déni de service, d’ingénierie sociale, de test physique ni de spam.
• Ne modifiez ni ne supprimez aucune donnée ; arrêtez-vous dès la preuve obtenue.
• Laissez-nous un délai raisonnable de correction avant toute publication.

Hors périmètre

• Les systèmes des clients de nos produits, qui ne nous appartiennent pas.
• Les services tiers que nous utilisons (hébergement, messagerie) : signalez-les à leur éditeur.
• Les constats sans impact démontré : absence isolée d’un en-tête, version logicielle affichée, clickjacking sur une page sans action sensible.

Cadre légal

En France, il est possible de signaler une vulnérabilité à l’ANSSI, qui préserve la confidentialité de l’identité de la personne à l’origine du signalement (article L. 2321-4 du Code de la défense). Vous pouvez choisir cette voie si vous le préférez.