Version à venir — texte en cours de rédaction.
Application VOKO et site voko-conseils-en-poche.fr - Règlement (UE) 2024/2847 sur la cyberrésilience
VOKO, Conseils en Poche, édite l'application de gestion budgétaire VOKO et le site voko-conseils-en-poche.fr. La présente politique indique à toute personne qui découvre une vulnérabilité dans l'application ou sur le site comment la signaler, ce que VOKO s'engage à faire de ce signalement et dans quels délais, et les règles à respecter pendant la recherche. Elle met en œuvre l'obligation posée par l'annexe I, partie II, point 5, du règlement (UE) 2024/2847 sur la cyberrésilience.
Tout signalement est adressé à l'adresse security@voko-conseils-en-poche.fr. Cette adresse est réservée à la sécurité. Elle constitue le point de contact unique au sens de l'article 13, paragraphe 17, du règlement sur la cyberrésilience pour le signalement des vulnérabilités.
Langues acceptées : français et anglais.
Aucune clé de chiffrement n'est publiée à ce jour. Ne joignez pas à votre message de données personnelles d'autres utilisateurs : décrivez la faille, ne transmettez pas son produit.
Le point de contact est également exposé dans un fichier security.txt, conforme à la RFC 9116, publié à l'adresse https://voko-conseils-en-poche.fr/.well-known/security.txt. Son contenu figure en annexe.
Les demandes d'assistance et les suggestions fonctionnelles relèvent du canal « Dis-nous tout » de l'application. VOKO traite selon la présente politique tout signalement de sécurité reçu par ce canal. Pour tout ce qui touche à la sécurité, l'adresse dédiée reste le canal à privilégier.
Application VOKO : Application web progressive servie depuis le domaine de VOKO, dans sa version en ligne.
Site vitrine : Site de présentation de VOKO, servi depuis le domaine voko-conseils-en-poche.fr, dès sa mise en ligne.
Applications mobiles : Versions publiées sur les magasins d'applications, dès leur publication.
Environnement de recherche : Aucun environnement de test n'est mis à disposition. Les recherches portent sur votre propre compte, dans la version en ligne.
Les actes suivants sont exclus de la présente politique. Ils ne peuvent pas être présentés comme une recherche conduite dans son cadre.
La consultation, la copie, la conservation ou l'extraction de données d'autres utilisateurs, au-delà de ce qui est strictement nécessaire pour établir l'existence de la faille.
Tout test conduit sur un compte qui n'est pas le vôtre.
Les attaques par déni de service et les tests de charge.
L'ingénierie sociale visant VOKO, ses utilisateurs, ses partenaires ou ses prestataires.
Les atteintes physiques aux équipements ou aux locaux.
Les tests visant directement l'infrastructure des prestataires de VOKO, qui relèvent de leurs propres politiques.
Signaler la vulnérabilité sans délai après l'avoir identifiée.
Interrompre la recherche dès que la faille est établie, et ne pas l'exploiter au-delà.
Ne modifier ni ne supprimer aucune donnée.
Garder la vulnérabilité confidentielle jusqu'à la divulgation coordonnée prévue au point 6.
Ne demander aucune contrepartie en échange du signalement ou de la confidentialité.
La présente politique ne vaut pas autorisation d'accéder au système d'information de VOKO. L'accès ou le maintien frauduleux dans tout ou partie d'un système de traitement automatisé de données est puni de 3 ans d'emprisonnement et de 100 000 euros d'amende par l'article 323-1 du code pénal, peine portée à 5 ans et 150 000 euros lorsqu'il en résulte la suppression ou la modification de données, ou une altération du fonctionnement du système. L'extraction, la détention, la reproduction, la transmission, la suppression ou la modification frauduleuses de données sont punies de 5 ans d'emprisonnement et de 150 000 euros d'amende par l'article 323-3 du même code. VOKO conserve l'ensemble de ses droits. VOKO instruit de bonne foi tout signalement conforme aux règles des points 3 et 4 et le traite selon les engagements du point 6.
Le chercheur qui ne souhaite pas s'adresser directement à VOKO peut signaler la vulnérabilité au CERT-FR, centre gouvernemental de réponse aux incidents, au titre du signalement volontaire prévu à l'article 15 du règlement sur la cyberrésilience. Le CERT-FR en informe alors VOKO.
Accusé de réception : Sous 48 heures à compter de la réception du signalement.
Qualification et information du déclarant : Sous 96 heures : VOKO indique au déclarant si la vulnérabilité est retenue, son niveau de gravité et la suite envisagée.
Correction : Selon la gravité établie par le système commun de notation CVSS (Common Vulnerability Scoring System) : 7 jours pour une gravité critique, 30 jours pour une gravité élevée, 90 jours pour une gravité moyenne, prochaine version pour une gravité faible. Un contournement peut précéder le correctif définitif.
Suivi : VOKO informe le déclarant de l'avancement jusqu'à la correction.
Divulgation coordonnée : Le déclarant s'abstient de toute publication pendant 90 jours à compter de son signalement, ou jusqu'au déploiement du correctif s'il intervient avant. Ce délai peut être prolongé d'un commun accord.
Dès la publication d'une mise à jour de sécurité, VOKO décrit la vulnérabilité corrigée, sa gravité, ses conséquences et les éventuelles actions à conduire par l'utilisateur, conformément à l'annexe I, partie II, point 4, du règlement sur la cyberrésilience. Pour l'application web, l'information est portée par le message affiché à l'ouverture de la nouvelle version. Pour les applications mobiles, elle figure dans les notes de version du magasin d'applications. Lorsque la publication immédiate exposerait les utilisateurs, VOKO la diffère jusqu'à ce qu'ils aient pu appliquer la correction.
Les mises à jour de sécurité sont gratuites. Lorsque c'est techniquement possible, elles sont diffusées séparément des évolutions fonctionnelles.
VOKO ne propose ni récompense financière ni tableau public de remerciements. Le déclarant peut demander à être cité dans l'avis de correction ; à défaut de demande, il n'est pas nommé.
Les coordonnées et les échanges du déclarant sont traités par VOKO pour instruire le signalement et en garder la trace dans son registre des vulnérabilités. Les modalités d'exercice des droits figurent dans la politique de confidentialité de VOKO.
Règlement (UE) 2024/2847, art. 13, 15 et annexe I, partie II : EUR-Lex · Politique de divulgation, point de contact unique, signalement volontaire, publication des corrections
RFC 9116 : rfc-editor.org · Format du fichier security.txt
ISO/IEC 29147 : iso.org · Norme de divulgation des vulnérabilités
CVSS : first.org · Notation de la gravité des vulnérabilités
CERT-FR : cert.ssi.gouv.fr · Centre de réponse désigné comme coordinateur en France
Contact: mailto:security@voko-conseils-en-poche.frExpires: 2027-10-19T23:00:00.000ZPreferred-Languages: fr, enPolicy: https://voko-conseils-en-poche.fr/securiteCanonical: https://voko-conseils-en-poche.fr/.well-known/security.txt