Signaler un problème de sécurité

Ceci est une traduction. Seul le texte néerlandais est juridiquement contraignant ; en cas de divergence, il prévaut.

Dernière mise à jour : 30 septembre 2026

Vous avez trouvé une vulnérabilité dans l’un de nos systèmes ? Merci de nous la signaler. Cette page explique comment nous traitons les signalements, ce que nous récompensons ou non, et ce que vous pouvez attendre de nous.

1. Comment signaler

Écrivez à security@tromptech.nl. Pour les signalements sensibles, vous pouvez chiffrer avec notre clé PGP (sur demande).

Indiquez dans votre signalement :

Une description claire du problème et de son impact
Les étapes pour le reproduire (un exemple fonctionnel si possible)
L’URL ou le composant où vous l’avez trouvé
Si vous souhaitez figurer sur notre tableau d’honneur et, si oui, sous quel nom

2. Nos engagements

Accusé de réception sous 2 jours ouvrables
Première réponse sur le fond sous 5 jours ouvrables
Des points d’étape au moins tous les 14 jours jusqu’à la résolution du signalement
Aucune action en justice contre les chercheurs qui respectent ces règles
Une mention sur notre tableau d’honneur si vous le souhaitez

Nous ne versons pas de récompense financière pour les signalements pour le moment, mais nous vous remercions par un petit cadeau, une réduction sur nos services ou une mention. Pour des découvertes exceptionnelles, nous sommes ouverts à un arrangement sur mesure.

3. Ce que nous récompensons

Injection SQL, XSS, CSRF, SSRF, RCE
Problèmes de connexion et de droits d’accès
Accès aux données d’autres personnes (IDOR, contrôle d’accès défaillant)
Fuites de données (données personnelles, clés, jetons)
Erreurs de configuration ayant des conséquences pour la sécurité (stockage ouvert, bases de données publiques, etc.)

4. Ce que nous jugeons moins pertinent

En-tête de sécurité manquant sans conséquence concrète
Self-XSS
CSRF théorique sur des pages publiques en lecture seule
SPF, DKIM et DMARC sans exemple d’hameçonnage fonctionnel
Attaques à fort trafic (DDoS, force brute)

5. Règles du jeu

Laissez-nous un délai raisonnable pour réagir avant de rendre quoi que ce soit public (repère : 90 jours)
Aucun dommage à nos données, services ou clients
Pas de force brute, pas d’attaques à fort trafic, pas de manipulation (ingénierie sociale) de nos collaborateurs ou clients
Testez uniquement sur votre propre compte ou un compte de test. Demandez-nous si vous avez besoin d’un compte de test.
Si vous accédez à des données d’autres personnes, signalez-le immédiatement et ne les téléchargez pas

6. Périmètre

Dans le périmètre :

tromptech.nl et tous ses sous-domaines
L’espace de travail TrompTech Layer (app.tromptech.nl)
Nos adresses d’API (/api/*)
Nos automatisations accessibles par une adresse directe

Hors périmètre :

Les sites que nous avons réalisés pour des clients sous leur propre domaine
Les services tiers que nous utilisons (comme Vercel, Supabase et OpenAI) : signalez-les directement à ces fournisseurs
Notre environnement d’administration (une autorisation est nécessaire, la recherche n’y est donc pas possible)

7. Contact

E-mail : security@tromptech.nl
Adresse de secours : info@tromptech.nl
security.txt: /.well-known/security.txt

Voir aussi : Documents et accords et Déclaration de confidentialité.