Divulgation de vulnérabilités

Technologies Lanterna Inc. (« Lanterna Tech ») accueille favorablement les signalements de vulnérabilités. La présente politique explique comment nous joindre, ce qui entre dans le périmètre, et ce que vous pouvez attendre de nous. En vigueur le 28 juillet 2026.

01Signaler une vulnérabilité

Écrivez à [email protected]. N'ouvrez pas de ticket public et ne divulguez rien publiquement avant que nous ayons eu une occasion raisonnable de corriger.

Un bon signalement contient, dans la mesure du possible :

• une description claire du problème et de son impact concret;
• les étapes de reproduction (URL, requête, capture d’écran);
• la version ou la date approximative à laquelle vous l’avez observé;
• si vous souhaitez être crédité, et sous quel nom;
• si vous en avez déjà parlé à un tiers.

02Ce que vous pouvez attendre de nous

Lanterna Tech est une petite équipe. Nous ne promettons pas de délai chiffré que nous ne pourrions pas tenir de façon fiable : nous nous engageons plutôt à accuser réception dans les meilleurs délais, à vous dire si nous retenons le signalement et pourquoi, à vous tenir informé de l’avancement du correctif, et à vous prévenir lorsqu’il est déployé. Nous privilégions la divulgation coordonnée et convenons avec vous du moment d’une publication éventuelle.

03Périmètre

Entrent dans le périmètre :

• le site et l’application web sur lanternatech.com et ses sous-domaines;
• les points d’accès de l’API sous /api/ et le canal temps réel WebSocket;
• les liens de partage public;
• les parcours d’authentification : connexion, double authentification TOTP, clés d’accès (passkeys), réinitialisation de mot de passe, rotation des jetons;
• l’isolation entre organisations (accès aux données d’un autre locataire);
• l’élévation de privilèges (utilisateur → administrateur, administrateur → superadministrateur);
• les failles d’injection, de désérialisation, de falsification de requête côté serveur (SSRF) et d’affectation de masse.

04Hors périmètre

• les attaques par déni de service, volumétriques ou par saturation;
• l’absence d’un en-tête de sécurité, sans démonstration d’exploitation;
• le « self-XSS », qui exige que la victime colle elle-même du code dans sa console;
• les rapports produits par un scanner automatisé sans preuve de concept fonctionnelle;
• les recommandations de bonnes pratiques sans vulnérabilité concrète;
• l’ingénierie sociale, l’hameçonnage de notre personnel et les attaques physiques;
• les services tiers dont nous dépendons — signalez-les directement à leur éditeur.

05Règles d’engagement

Testez uniquement avec un compte qui vous appartient. Arrêtez dès que vous avez confirmé la vulnérabilité : n’accédez pas à plus de données que nécessaire pour la démontrer, ne modifiez ni ne détruisez aucune donnée, et n’interrompez pas le service. Ne testez jamais les données d’un client sans son autorisation écrite.

06Protection du chercheur

Nous n’entreprendrons aucune poursuite civile ou pénale, et ne demanderons aucune mesure à un tiers contre vous, si vous respectez de bonne foi la présente politique — y compris les règles d’engagement de l’article 5. Si un tiers engageait une action contre vous pour des travaux conformes à la présente politique, nous le ferons savoir. Cet engagement ne s’étend pas aux actes qui excèdent la présente politique, ni à ce qu’une loi impérative nous interdirait de couvrir.

07Reconnaissance

Nous n’exploitons pas de programme de primes rémunéré. Avec votre accord, nous vous créditons publiquement pour tout signalement retenu. Signalez sans considération de compensation : nous traitons chaque rapport sérieux de la même manière.