Sécurité et divulgation de vulnérabilités

Comment signaler une vulnérabilité#

Écrivez à security@narvy.io. C'est le canal unique pour les signalements de sécurité. Il parvient directement à l'équipe fondatrice.

Un bon signalement nous indique :

• Quelle est la vulnérabilité, et où (une URL, un point d'API, une commande CLI, une version précise).
• Comment la reproduire, étape par étape. Une courte preuve de concept vaut mieux qu'une longue description.
• Ce qu'un attaquant pourrait réellement en faire, pour que nous en évaluions la gravité honnêtement.
• Si vous pensez qu'elle est déjà exploitée, ou qu'elle a été divulguée ailleurs.

Écrivez en français ou en anglais, à votre convenance. Si vous n'êtes pas sûr que quelque chose constitue une vulnérabilité, envoyez-le quand même. Nous préférons lire un signalement de trop que manquer celui qui comptait.

Périmètre#

Dans le périmètre, tout ce que nous concevons et exploitons :

• La plateforme web narvy.io et son API.
• L'outil en ligne de commande Narvy et les moteurs d'analyse qu'il embarque.
• Notre logique d'authentification, de facturation, d'isolation entre clients et de stockage des rapports.
• Notre infrastructure publiée qui sert directement le produit.

Hors périmètre, et merci de ne pas les tester :

• Déni de service, tests volumétriques ou de charge, et tout ce qui dégrade le service pour les autres utilisateurs.
• Ingénierie sociale, hameçonnage, ou attaques physiques contre notre équipe, nos utilisateurs ou nos prestataires.
• Les services tiers dont nous dépendons simplement (par exemple nos prestataires d'hébergement, de paiement ou de messagerie). Signalez-les au tiers concerné ; prévenez-nous aussi si cela touche nos utilisateurs.
• Les résultats qui exigent un appareil compromis, un navigateur piégé, ou une personne agissant volontairement contre son propre compte.
• Les signalements issus de scanners automatiques sans impact démontré et reproductible.

Nos engagements, et sous quels délais#

Ce sont des engagements, pas des intentions. Si nous manquons l'un d'eux, nous vous dirons pourquoi.

Par ailleurs, et indépendamment de votre signalement, si une vulnérabilité dans un composant Narvy distribué se révèle activement exploitée, ou si nous subissons un incident de sécurité grave, nous sommes légalement tenus, en tant que fabricant européen, de notifier les autorités selon un rythme bien plus rapide : un premier avertissement sous 24 heures. La section 7 explique cette obligation. Elle s'ajoute à notre engagement envers vous, sans le remplacer.

Garantie pour la recherche de bonne foi#

Nous n'engagerons ni ne soutiendrons aucune action juridique contre vous pour une recherche de sécurité menée de bonne foi et respectant cette politique. Concrètement, si vous :

• restez dans le périmètre de la section 2 et suivez les règles de la section 5,
• agissez pour éviter tout dommage aux personnes, aux données et à la disponibilité du service,
• n'accédez qu'à vos propres données, et vous arrêtez au premier signe que vous pourriez atteindre celles d'un autre,
• nous laissez une chance raisonnable de corriger avant d'en parler à quiconque,

alors nous considérons votre recherche comme autorisée, nous ne la traiterons pas comme une violation de nos conditions d'utilisation, et nous ne vous signalerons pas aux autorités et n'engagerons pas d'action civile à ce titre. Si un tiers agit contre vous pour une recherche conforme à cette politique, prévenez-nous et nous confirmerons par écrit que votre activité était autorisée par nous.

Ce que nous vous demandons#

• Nous laisser un délai raisonnable pour enquêter et corriger avant toute divulgation publique. Notre défaut est de 90 jours ; parlez-nous si vous pensez qu'il devrait être plus court.
• Ne pas utiliser, vendre, publier ni conserver la moindre donnée rencontrée. Effacez ce que vous avez récupéré dès que vous nous l'avez signalé.
• Garder les détails de la vulnérabilité confidentiels jusqu'à ce que nous ayons convenu qu'elle est corrigée et qu'une date de divulgation soit passée.
• Un problème par signalement dans la mesure du possible. Cela garde la correction et le crédit clairs.

Sur les récompenses, franchement : nous n'avons pas de programme de bug bounty payant aujourd'hui, et nous ne laisserons pas entendre le contraire faute de pouvoir le financer. Ce que nous offrons, c'est un processus rapide et respectueux, un crédit public si vous le souhaitez, et l'intention affirmée de lancer un programme financé à mesure que nous grandissons. Si cela compte pour vous, dites-le, et nous serons transparents sur notre situation.

Divulgation coordonnée et crédit#

Nous pratiquons la divulgation coordonnée. Nous corrigeons le problème, nous convenons d'une date avec vous, et ce n'est qu'ensuite que l'un ou l'autre rend l'affaire publique. Si vous souhaitez un crédit, nous vous nommerons (ou nommerons le pseudonyme de votre choix) dans les notes de version ou un avis de sécurité. Si vous préférez rester anonyme, cela nous convient tout autant.

Lorsqu'une vulnérabilité le justifie, nous demanderons un identifiant CVE afin que nos utilisateurs et l'écosystème puissent suivre la correction. Si votre découverte touche un composant tiers que nous distribuons, nous nous coordonnerons aussi avec les mainteneurs de ce projet, et nous vous tiendrons informé.

Signalement réglementé au titre du règlement sur la cyberrésilience#

Narvy est un produit comportant des éléments numériques mis sur le marché de l'Union, et LIMITLESS KNOWLEDGE en est le fabricant. Au titre du règlement (UE) 2024/2847, le règlement sur la cyberrésilience, les obligations de signalement des fabricants prévues à l'article 14 commencent à s'appliquer le 11 septembre 2026. Cette section décrit le processus que nous avons documenté pour y répondre. C'est notre processus déclaré, à confirmer avec un conseil juridique ; ce n'est pas une interprétation du droit sur laquelle vous devriez vous appuyer pour vos propres obligations.

Deux situations déclenchent une notification obligatoire de notre part :

• Une vulnérabilité activement exploitée contenue dans un produit Narvy distribué (la plateforme ou l'outil CLI) ; et
• Un incident grave ayant un impact sur la sécurité d'un produit Narvy.

Lorsque l'une de ces situations est confirmée, nous notifions à la fois l'ENISA et le CSIRT désigné comme coordinateur pour notre État membre, via la plateforme de signalement unique que l'ENISA exploite au titre de l'article 16 du règlement. Notre établissement étant en France, le CSIRT coordinateur est le CSIRT national français, le CERT-FR, opéré par l'ANSSI. Nous signalons selon le rythme suivant, décompté à partir du moment où nous en avons connaissance :

Si vous nous avez signalé une vulnérabilité qui se révèle activement exploitée, c'est cette obligation qui explique que vous nous voyiez agir vite et, en parallèle, notifier une autorité publique. Cela ne change rien à notre engagement de coordonner la divulgation publique avec vous.

Contact et chiffrement#

Chiffrement : nous ne publions pas de clé PGP aujourd'hui, et nous préférons le dire plutôt que d'afficher une clé que nous n'utilisons pas activement. Si votre signalement est sensible et que vous devez l'envoyer chiffré, écrivez d'abord à security@narvy.io, sans détail sensible, et nous conviendrons d'un canal chiffré et vous transmettrons une clé.

Un fichier security.txt lisible par machine pointant vers cette page est prévu sous /.well-known/security.txt.