Projet — document en cours de relecture par un juriste. Cette politique pourra être précisée après relecture.

Signaler une vulnérabilité

Politique de divulgation responsable

Vous avez trouvé une faille de sécurité dans Omnifloo Office ? Merci de nous la signaler avant toute divulgation publique : cela nous permet de la corriger et de protéger les utilisateurs.

1. Comment nous écrire

Envoyez votre message à securite@omnifloo.com, en français ou en anglais. Ces informations nous aident à reproduire le problème :

• l'adresse ou la fonction concernée et le type de faille ;
• les étapes pour la reproduire, avec si possible une capture ou un court script ;
• l'impact que vous avez constaté ou que vous redoutez ;
• un moyen de vous répondre, et le nom sous lequel vous souhaitez être remercié, si vous le souhaitez.

Les mêmes informations de contact sont publiées sous forme lisible par les machines dans le fichier security.txt (RFC 9116). Ne joignez pas de données personnelles réelles : décrivez plutôt leur nature.

2. Ce que nous nous engageons à faire

• Accuser réception de votre signalement sous 3 jours ouvrés.
• Évaluer la gravité, vous tenir informé de l'avancement et vous prévenir lorsque la faille est corrigée.
• Corriger en priorité les failles les plus graves, sans délai fixe garanti : la durée dépend de la complexité.
• Ne pas engager de poursuites contre une personne qui a agi de bonne foi et respecté les règles ci-dessous.
• Citer votre nom dans nos remerciements si vous le souhaitez. Nous ne proposons pas de récompense financière.

3. Ce que nous vous demandons

• Limiter vos essais au strict nécessaire pour démontrer la faille, sans consulter, modifier ni supprimer des données qui ne sont pas les vôtres.
• Ne pas dégrader le service : pas de déni de service, pas de tests de charge, pas de spam.
• Ne pas exploiter la faille au-delà de la démonstration et ne pas la transmettre à des tiers.
• Nous laisser un délai raisonnable pour corriger avant toute publication ; à défaut d'accord, 90 jours après votre signalement.

4. Périmètre

Sont concernés : le portail Omnifloo Office, l'espace de fichiers, le serveur d'édition de documents et les autres services accessibles sous le domaine omnifloo.com et ses sous-domaines. Ne relèvent pas de cette politique : l'ingénierie sociale (hameçonnage de notre équipe ou de nos utilisateurs), les atteintes physiques, les services de nos prestataires (hébergeur, messagerie, paiement), qui ont leurs propres procédures, et les rapports d'outils automatiques sans impact démontré.

5. État des lieux

Les mesures de sécurité en place sont décrites dans la page Souveraineté et hébergement. Le code du portail a fait l'objet d'audits internes suivis de corrections et de contre-audits. Aucun test d'intrusion par un tiers indépendant n'a été réalisé à ce jour : c'est l'une des raisons pour lesquelles votre signalement est précieux.