Signalement des vulnérabilités
En vigueur depuis le 19 octobre 2026
Si vous trouvez une vulnérabilité dans Zdalna, écrivez à [email protected] (en anglais ou en polonais). Décrivez le problème, les étapes pour le reproduire et la version de l'application. Les coordonnées figurent aussi dans security.txt.
Périmètre
- Applications Zdalna pour macOS et Windows
- Visionneuse dans le navigateur
zdalna.space/webet pages d'invitationzdalna.space/r/ - API
zdalna.space/api, serveur de connexionzdalna.space/wset relais TURN - Site
zdalna.spaceet téléchargements
Hors périmètre : déni de service (DoS), ingénierie sociale et hameçonnage visant nous ou nos utilisateurs, accès physique, spam, rapports de scanners automatiques sans preuve d'impact, services tiers (par ex. Cloudflare, Hetzner).
Règles de test
- Testez avec vos propres comptes et vos propres ordinateurs. Ne vous connectez pas aux appareils d'autres personnes.
- Si vous tombez sur les données de quelqu'un d'autre, arrêtez-vous, ne les copiez pas et signalez-le immédiatement.
- Ne surchargez pas les services. Limitez les requêtes automatisées à un rythme raisonnable.
- Ne publiez pas de détails avant la publication d'un correctif ou l'expiration du délai convenu.
Protection juridique (safe harbor)
Si vous agissez de bonne foi et respectez ces règles, nous n'engagerons aucune action en justice contre vous et ne vous signalerons pas aux forces de l'ordre pour vos recherches. Si un tiers engage une action contre vous au sujet de telles recherches, nous confirmerons que vous avez agi dans le cadre de cette politique.
Délais de réponse
| Accusé de réception | sous 3 jours ouvrés |
|---|---|
| Évaluation et gravité | sous 10 jours ouvrés |
| Correctif des vulnérabilités critiques | sous 30 jours |
| Tout le reste | dans les prochaines versions, généralement sous 90 jours |
Nous vous tenons informé. Nous publions les détails après la sortie du correctif, en accord avec vous, et vous citons dans les notes de version si vous le souhaitez. Nous n'avons pas de programme de bug bounty rémunéré.
Cyber Resilience Act (CRA)
À partir du 11 septembre 2026, en tant que fabricant, nous signalons les vulnérabilités activement exploitées et les incidents graves affectant nos produits au CSIRT désigné comme coordinateur et à l'ENISA via la plateforme de signalement de l'ENISA : une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final dès qu'un correctif est disponible.