Signaler une vulnérabilité

Politique de divulgation coordonnée des vulnérabilités. Dernière mise à jour : 08/10/2026.

Traduction fournie à titre indicatif ; seules les versions allemande et anglaise font foi.

1. Objet

Chez Frederich Engineering, la sécurité passe avant la rapidité et les fonctionnalités. Si vous découvrez une vulnérabilité dans l'un de nos produits ou services, nous voulons en être informés afin de la corriger rapidement. Cette politique explique comment la signaler, ce que vous pouvez attendre de nous et les règles qui s'appliquent à vos tests.

2. Périmètre

Klarfeed Cloud (klarfeed.app) et le site web Klarfeed (klarfeed.com)
le générateur de mots de passe Klarpass (klarpass.app)
les logiciels de Frederich Engineering que nous vendons ou publions (p. ex. Klarfeed auto-hébergé), dans leur version actuelle
notre site d'entreprise frederich-engineering.com

Hors périmètre : les services tiers que nous utilisons (p. ex. Stripe, Hetzner, notre fournisseur de messagerie) -- veuillez les contacter directement -- ainsi que les flux et sites web tiers affichés dans Klarfeed.

3. Comment signaler

Écrivez à security@frederich-engineering.com, idéalement avec :

le produit ou service concerné et sa version ou son URL,
une description de la vulnérabilité et de son impact,
les étapes pour la reproduire (preuve de concept),
votre nom ou pseudonyme si vous souhaitez être cité.

Merci d'écrire en allemand ou en anglais. Veuillez chiffrer les détails confidentiels avec notre clé PGP (RSA 4096, valable jusqu'au 30/06/2027), empreinte :
2D28 1AA4 8156 6C99 B747 6DEB 7E91 8184 7FC9 FEFE

4. Ce que vous pouvez attendre de nous

Nous sommes une petite entreprise et ne promettons que ce que nous pouvons tenir :

Accusé de réception sous 3 jours ouvrés.
Première évaluation (confirmée / non reproductible / pas un problème de sécurité) sous 10 jours ouvrés.
Nous vous tenons informé de l'avancement de la correction.
Correction : les vulnérabilités critiques au plus vite ; objectif de 90 jours au maximum pour toute vulnérabilité confirmée.
Publication : coordonnée avec vous ; par défaut après la correction, au plus tard 90 jours après votre signalement, sauf accord contraire. Si vous le souhaitez, nous vous citons comme découvreur.
Le cas échéant, nous demandons un identifiant CVE.
Nous respectons nos obligations légales de notification, notamment au titre du Cyber Resilience Act de l'UE.

Nous ne versons actuellement aucune récompense (pas de programme de bug bounty).

5. Règles de test et notre engagement

Si vous agissez de bonne foi et respectez ces règles, nous ne déposerons pas de plainte pénale et n'engagerons aucune action civile contre vous. Nous ne pouvons pas parler au nom de tiers (p. ex. les autorités), mais nous confirmerons sur demande que vos tests s'inscrivaient dans le cadre de cette politique.

Ne testez qu'avec vos propres comptes et vos propres données. Pour Klarfeed Cloud, vous pouvez nous demander un accès de test.
N'accédez pas aux données d'autres utilisateurs. Si vous tombez dessus malgré tout : arrêtez immédiatement, ne conservez ni ne partagez rien, et prévenez-nous.
Aucun test qui dégrade le service (déni de service, tests de charge, requêtes massives, spam).
Pas d'ingénierie sociale, pas d'hameçonnage, pas d'accès physique ; aucune attaque contre notre personnel, nos prestataires ou nos hébergeurs.
N'exploitez une vulnérabilité que dans la mesure nécessaire pour la démontrer ; pas de porte dérobée, pas de modification durable.
Ne publiez de détails qu'après coordination avec nous (section 4).

6. Ce que nous ne traitons généralement pas comme une vulnérabilité

rapports de scanners automatiques sans impact démontré
en-têtes de sécurité ou attributs de cookies manquants sans attaque concrète
self-XSS, clickjacking sur des pages sans action sensible pour la sécurité
remarques SPF/DKIM/DMARC, bannières et indications de version
déni de service par simple volume
attaques nécessitant un appareil déjà compromis ou un accès physique

En cas de doute, signalez quand même.