Outil gratuit

Générateur gratuit de politique de divulgation des vulnérabilités

Le générateur rédige une politique de divulgation des vulnérabilités précisant son champ d'application, les clauses d'exonération de responsabilité et les délais de réponse, ainsi que le fichier security.txt qui permet aux chercheurs d'y accéder.

Créez votre police d'assurance Générateur de fichiers security.txt
  • Politique de divulgation
  • Clause de sauvegarde
  • fichier security.txt
  • Liste de contrôle pour la publication

Élaborez votre politique de signalement des failles de sécurité.

Suivez les 3 étapes et copiez les résultats à l'étape 4.

Parlez-nous de votre organisation

La page sur laquelle vous publierez la politique. Le fichier security.txt renvoie vers celle-ci.

Un par ligne. Laissez ce champ vide pour inclure votre site web et ses sous-domaines.

Choisissez la manière dont les utilisateurs peuvent signaler un problème

Indiquez au moins un moyen de signalement. Le fichier security.txt les répertorie dans cet ordre.

La page dédiée à votre programme sur une plateforme telle que HackerOne, Bugcrowd, Intigriti ou YesWeHack.

Dans moins d'un an à compter d'aujourd'hui. Mettez à jour le fichier avant cette date.

Un lien vers votre clé publique, que les chercheurs utilisent pour chiffrer leurs rapports. Le fichier renvoie vers la clé, mais ne la contient pas.

Définir les règles

Récompenses
Méthodes d'essai non autorisées
security.txt

Le fichier à son emplacement sur votre site web, et un aperçu de la politique.

Copiez votre politique et le fichier security.txt

Relisez le texte avant de le publier. Il fait suite à vos réponses ci-dessus.

Saisissez le nom de votre organisation pour consulter votre politique et votre fichier security.txt.

Le générateur rédige un texte à partir de vos réponses, de la norme RFC 9116 et de modèles courants de politique de divulgation, tels que celui de l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA). Il ne s'agit pas d'un avis juridique. Vérifiez la politique avant de la publier et faites valider la formulation de la clause de « safe harbor » par un avocat : celle-ci ne couvre que les activités de votre organisation, et non celles d’autres parties ou des autorités judiciaires.

Où publier votre politique.

Les chercheurs recherchent une page dédiée à la sécurité, un fichier security.txt ou un e-mail consacré à la sécurité. Placez votre politique là où ils la chercheront et veillez à ce que quelqu'un y réponde.

  1. Une page dédiée. Publiez la politique via un lien court, tel que /sécurité ou /politique-de-divulgation-des-vulnérabilités.

  2. Le pied de page de votre site web. Ajoutez un lien vers cette politique dans le pied de page, à côté de votre Politique de confidentialité et de vos Conditions générales.

  3. Le fichier security.txt. Téléchargez le fichier à l'emplacement /.well-known/security.txt. La ligne « Policy » de ce fichier renvoie vers la page.

  4. La boîte de réception dédiée aux signalements. Configurez l'adresse e-mail de sécurité et veillez à ce que quelqu'un la consulte chaque jour ouvrable.

  5. Vos produits. Conformément à la loi européenne sur la cyber-résilience, veuillez indiquer le nom de la personne à contacter et le lien vers la politique dans les informations destinées aux utilisateurs de chaque produit.

  6. Un rapport de test. Envoyez un rapport de test via chaque itinéraire, vérifiez le temps de réponse et réexaminez la politique une fois par an.

Les règles

Ce que prévoient les règles.

Chaque ligne indique le nom d'une loi, d'une norme ou d'une directive gouvernementale, son champ d'application et ce qu'elle impose à votre politique de divulgation.

Lois et normes relatives à la divulgation des vulnérabilités, leur champ d'application respectif et leurs exigences
Loi ou norme Dans les cas où cela s'applique Ce qu'il demande
RFC 9116 (security.txt) N'importe quel site web. Il s'agit d'une norme Internet facultative. Un fichier en texte brut situé dans le répertoire /.well-known/security.txt, accessible via HTTPS, contenant au moins une ligne « Contact » et une date d'expiration, idéalement inférieure à un an.
Loi européenne sur la cyber-résilience (règlement (UE) 2024/2847) Fabricants de logiciels et de produits connectés commercialisés dans l'UE. L'obligation de déclaration s'applique à compter du 11 septembre 2026, les autres exigences à compter du 11 décembre 2027. Une politique coordonnée de divulgation des vulnérabilités et une adresse de contact pour le signalement de celles-ci (annexe I, partie II), un point de contact unique désigné dans les informations destinées aux utilisateurs (annexe II), ainsi que la notification à l'ENISA, dans un délai de 24 heures, des vulnérabilités faisant l'objet d'une exploitation active.
Directive NIS2 (UE) 2022/2555 Les entités essentielles et importantes au sein de l'UE, telles que les fournisseurs de services cloud, d'hébergement et d'infrastructures numériques. La gestion et la divulgation des vulnérabilités dans le cadre des mesures de sécurité (article 21). Les CSIRT nationaux assurent la coordination de la divulgation entre les chercheurs et les entreprises (article 12).
Régime britannique de sécurité des produits et des infrastructures de télécommunications (PSTI) Fabricants de produits grand public connectés commercialisés au Royaume-Uni depuis le 29 avril 2024. Une procédure officielle permettant de signaler des problèmes de sécurité, ainsi que le délai dans lequel les auteurs des signalements reçoivent un accusé de réception et des informations sur l'état d'avancement du dossier.
Directive opérationnelle contraignante n° 20-01 de la CISA, États-Unis Les agences civiles fédérales américaines. Son modèle de politique sert de référence aux entreprises. Une politique publiée précisant les systèmes concernés, la procédure à suivre pour signaler un incident, l'engagement de ne pas engager de poursuites judiciaires en cas de recherche menée de bonne foi, ainsi que l'accusé de réception des signalements dans un délai de 3 jours ouvrés.
ISO/IEC 29147 et ISO/IEC 30111 N'importe quelle organisation. Il s'agit de normes internationales, souvent exigées lors des audits de sécurité. Comment recevoir des rapports et publier des avis (29147), et comment valider, corriger et suivre chaque rapport au sein de votre organisation (30111).

Générateur de politique d'utilisation acceptable

Votre politique d'utilisation acceptable définit les règles applicables à tous les autres utilisateurs.

Le générateur de politique d'utilisation acceptable de TermsFeed interdit toute tentative de sondage ou de test de votre service sans autorisation écrite, et demande aux utilisateurs de vous signaler les vulnérabilités. Votre politique de divulgation accorde cette autorisation aux chercheurs qui la respectent.

Générer une politique d'utilisation acceptable

Foire aux questions.

Réponses aux questions fréquentes concernant les politiques de divulgation des vulnérabilités.

Qu'est-ce qu'une politique de divulgation des vulnérabilités ?

Une politique de divulgation des vulnérabilités indique aux chercheurs en sécurité comment signaler une vulnérabilité qu'ils ont détectée dans vos systèmes, et comment vous traiterez ce signalement.

Une telle politique couvre généralement les points suivants.

  • Les systèmes concernés et ceux qui ne le sont pas.
  • Les méthodes de test interdites, telles que les attaques par déni de service.
  • La procédure à suivre pour signaler une vulnérabilité et les informations à fournir.
  • Le délai de réponse et le moment où les détails seront rendus publics.
  • L'engagement de ne pas engager de poursuites judiciaires à l'encontre de recherches menées de bonne foi, ce que l'on appelle la « clause de sauvegarde ».

Ai-je besoin d'une politique de divulgation des vulnérabilités ?

Certaines lois l'exigent, et tous les sites web y trouvent leur intérêt.

  • La loi européenne sur la cyber-résilience impose aux fabricants de logiciels et de produits connectés commercialisés dans l’UE de mettre en place une politique coordonnée de divulgation des vulnérabilités, à compter du 11 décembre 2027.
  • Le régime britannique PSTI impose aux fabricants de produits grand public connectables de publier les modalités de signalement des problèmes de sécurité.
  • La directive NIS2 de l’UE inclut la divulgation des vulnérabilités parmi les mesures de sécurité des entités essentielles et importantes.

En l’absence d’une telle politique, un chercheur qui découvre une vulnérabilité ne sait pas à qui s’adresser et la publie parfois sans vous en informer.

Une politique de divulgation des vulnérabilités, est-ce la même chose qu'un programme de prime aux bogues ?

Non. Une politique de divulgation des vulnérabilités encourage les signalements. Un programme de prime aux bogues encourage les signalements et les rémunère.

  • Une politique peut être publiée gratuitement et fonctionne de manière autonome.
  • Un programme de prime aux bogues ajoute des récompenses ; il est souvent géré sur une plateforme telle que HackerOne ou Bugcrowd, selon les règles fixées par celle-ci.

La plupart des organisations commencent par mettre en place une politique, puis ajoutent des récompenses par la suite.

Que signifie « safe harbor » dans une politique de divulgation ?

La clause de safe harbor constitue votre engagement à reconnaître que les recherches menées conformément à la politique sont autorisées et que vous n'engagerez aucune action en justice à leur encontre.

  • Elle couvre les activités de votre organisation.
  • Elle n’empêche pas d’autres parties, telles qu’un hébergeur ou les autorités judiciaires, d’agir.
  • La recherche doit respecter la politique : son champ d’application, les méthodes de test et les règles de divulgation.

Faites vérifier la formulation par un avocat avant de la publier.

Dans quel délai devons-nous répondre à un signalement ?

De nombreuses politiques précisent que la réception d'un rapport doit être confirmée dans un délai de 3 jours ouvrés, comme dans le modèle de la CISA.

  • Choisissez des délais de réponse que votre équipe est en mesure de respecter à chaque fois : l’absence de réponse est la raison la plus courante pour laquelle les chercheurs publient leurs résultats avant l’heure.
  • Le régime PSTI britannique vous demande de publier vos délais de réponse, et non de respecter un nombre de jours fixe.
  • Un délai de 90 jours avant la publication des détails est courant.

Le générateur de politique de divulgation des vulnérabilités est-il gratuit ?

Oui, le générateur de politique de divulgation des vulnérabilités est gratuit.

  • Le générateur ne nécessite pas de compte.
  • Le générateur crée également le fichier security.txt.

Créez votre politique à l'aide du générateur ci-dessus.