Un canal responsable pour décrire une vulnérabilité sans exposer les utilisateurs ni le service.
Envoyez un signalement à info@code-couleur.com avec l’objet « Sécurité ». Ne publiez pas de donnée personnelle, de secret ou de preuve exploitant activement un compte ou un système tiers.
01
Contenu du signalement
Décrivez la page ou le composant, l’impact possible, les étapes minimales de reproduction et les conditions nécessaires. Une capture expurgée peut aider, mais ne transmettez aucune donnée réelle d’un utilisateur.
URL et date du test.
Navigateur ou environnement.
Résultat observé et résultat attendu.
02
Cadre de test responsable
Limitez-vous aux vérifications nécessaires à la démonstration. N’effectuez ni déni de service, ni accès persistant, ni extraction de données, ni ingénierie sociale.
Aucune interruption volontaire.
Aucune modification de données.
Aucune divulgation avant traitement raisonnable du signalement.
03
Suivi
La réception et le délai de traitement dépendent de la gravité et de la reproductibilité. Code Couleur peut demander des précisions ou signaler qu’un problème relève d’un prestataire technique.
QUALIFIER LE SIGNALEMENT
Démontrer l’impact avec le minimum d’action
Une preuve utile montre qu’un comportement est reproductible sans consulter, modifier ou extraire les données d’une autre personne. Utilisez un compte et des contenus de test lorsque c’est possible, puis arrêtez l’essai dès que l’impact est établi.
Dans le périmètre
Pages et outils publics de Code Couleur, scripts livrés par le site et configuration visible depuis le domaine. Signalez séparément les problèmes relevant d’un prestataire.
Hors démonstration responsable
Déni de service, automatisation agressive, ingénierie sociale, maintien d’un accès, modification, publication prématurée ou collecte de données réelles.
Trace attendue
URL, heure, environnement, requête minimale expurgée, résultat, impact plausible et moyen de vous recontacter. Ne joignez aucun secret actif.
L’accusé de réception ne vaut pas confirmation de vulnérabilité. La qualification dépend de la reproductibilité, de l’impact et de la maîtrise technique du composant concerné.
APRÈS LE SIGNALEMENT
Préserver les preuves sans diffuser la faiblesse
Gardez une copie datée de votre rapport et des réponses. Si une précision est demandée, utilisez le même fil et fournissez uniquement l’élément nécessaire. N’ouvrez pas de nouveaux comptes, ne testez pas d’autres personnes et ne publiez pas la procédure avant coordination. Une correction apparente doit être confirmée par l’éditeur : répéter l’exploitation sur le service public pourrait recréer un impact.