Signaler une faille de sécurité

Comment nous écrire

Écrivez à contact@connectilys.fr, avec le mot « Sécurité » dans l'objet. Le message arrive à l'éditeur, CELM Développement, qui exploite Connectilys.

Pour que nous puissions vérifier vite, dites-nous :

• l'adresse ou l'écran concerné, et la version de l'application mobile s'il s'agit d'elle ;
• ce que la faille permet de faire, et les étapes pour la reproduire ;
• la date de vos essais et l'adresse IP d'où ils sont partis, pour les retrouver dans nos journaux ;
• comment vous joindre, et si vous souhaitez être remercié publiquement.

N'envoyez jamais de données personnelles que vous auriez vues : décrivez-les (« le nom et l'adresse d'un autre foyer »), sans les recopier. Nous écrivons en français ou en anglais.

Ce qui est concerné

• le site connectilys.fr et les sous-domaines de connectilys.fr qui servent nos applications : la page de connexion et « Mes espaces », les espaces de chaque collectivité (cantine et garderie, logement, démarches, actualités…), l'aiguillage de l'application ;
• l'application mobile Connectilys pour Android et iOS ;
• le code que nous écrivons et la façon dont nous l'exploitons.

Ne sont pas concernés :

• les services de nos prestataires et des administrations avec lesquels nos applications échangent (hébergeur, envoi des courriels, notifications mobiles, paiement en ligne de la DGFiP, API de l'État) ;
• les systèmes des collectivités elles-mêmes : leur site, leur messagerie, leur logiciel financier, leurs postes de travail.

Nous ne pouvons pas autoriser de recherches sur un système qui ne nous appartient pas. Une faille chez eux se signale à eux. Si elle touche aussi nos applications, prévenez-nous en même temps.

Les règles du jeu

Nos applications portent les données de vraies personnes : des enfants, des familles, des agents. Pendant vos recherches :

• n'accédez qu'au strict minimum de données pour montrer la faille, puis arrêtez-vous et écrivez-nous ;
• ne modifiez, ne supprimez et ne gardez aucune donnée qui n'est pas à vous ; effacez ce que vous auriez obtenu dès votre signalement fait ;
• n'utilisez que des comptes qui vous appartiennent ; ne cherchez pas à deviner ou à réutiliser le mot de passe de quelqu'un d'autre ;
• pas de déni de service, pas d'envoi massif de courriels ou de notifications, pas de balayage automatique à grand débit ;
• pas d'ingénierie sociale (agents des mairies, familles, éditeur), pas d'intrusion physique ;
• ne déposez aucun fichier malveillant au-delà d'un fichier de test reconnu (par exemple EICAR) ;
• gardez la faille pour vous jusqu'à sa correction, dans les conditions ci-dessous.

Nos applications enregistrent les tentatives anormales et peuvent bloquer une adresse IP automatiquement ou à la main. Un blocage n'est pas un reproche : signalez-le-nous dans votre message.

Nos engagements

• Accusé de réception sous cinq jours ouvrés.
• Première évaluation sous dix jours ouvrés : nous vous disons si nous reproduisons la faille et quelle gravité nous lui donnons.
• Correction au plus vite, avec ces objectifs : sept jours pour une faille critique, trente jours pour une faille grave, quatre-vingt-dix jours pour les autres. Nous vous tenons au courant, et vous prévenons quand c'est corrigé.
• Données personnelles : si la faille a exposé des données personnelles, nous prévenons les collectivités concernées, responsables de ces données, comme le prévoit notre accord de sous-traitance. Pour les données dont nous sommes nous-mêmes responsables, nous prévenons la CNIL et les personnes concernées dans les cas prévus par la loi.
• Votre identité : nous ne la communiquons à personne sans votre accord, sauf obligation légale ou demande d'une autorité judiciaire.
• Remerciements : avec votre accord, nous pourrons citer votre nom ou votre pseudonyme une fois la faille corrigée. Nous ne versons pas de prime.

Divulgation coordonnée

Nous publions ensemble, une fois la faille corrigée. Sans correction au bout de quatre-vingt-dix jours après votre signalement, et sauf accord différent entre nous, vous êtes libre d'en parler. Prévenez-nous quinze jours avant, et ne publiez ni donnée personnelle ni moyen prêt à l'emploi d'exploiter la faille.

Recherche de bonne foi

Si vous respectez ces règles, l'éditeur considère vos recherches comme faites de bonne foi. Il ne portera pas plainte contre vous et n'engagera aucune action contre vous pour ces recherches. Il le dira, si besoin, à toute personne qui l'interrogerait.

Cet engagement ne lie que l'éditeur. Il ne peut pas parler à la place des collectivités qui utilisent nos services, de nos prestataires ou de la justice.

Vous pouvez aussi signaler la faille à l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information, plutôt qu'à nous. Si vous lui transmettez l'information de bonne foi, la loi la dispense de signaler les faits au procureur de la République, et l'oblige à garder votre identité confidentielle (article L. 2321-4 du code de la défense).

Vos données

CELM Développement traite les informations de votre signalement (votre adresse, votre nom ou pseudonyme, vos échanges avec nous, l'adresse IP que vous nous donnez) pour vérifier et corriger la faille, et pour vous répondre. Cela repose sur notre intérêt légitime à sécuriser nos applications. Seul l'éditeur les lit. Nous les gardons trois ans après la clôture du signalement.

Vous pouvez y accéder, les faire rectifier ou effacer, ou vous opposer à leur traitement, en écrivant à la même adresse. Vous pouvez aussi saisir la CNIL. Le détail est dans la politique de confidentialité.