Divulgation responsable

Version : 1.0
Date d’entrée en vigueur : 20/08/2026
Dernière mise à jour : 20/08/2026

MAXPRIMACY accorde une grande importance à la sécurité de son site web, de ses informations et de ses systèmes numériques.

Nous apprécions les signalements responsables émanant de chercheurs en sécurité, de professionnels de la technologie et de toute autre personne ayant identifié une faille de sécurité potentielle affectant MAXPRIMACY.

La présente politique de divulgation responsable explique comment signaler une vulnérabilité présumée et définit des limites raisonnables pour la recherche en matière de sécurité menée de bonne foi.

1. Comment signaler une vulnérabilité

Si vous pensez avoir identifié une faille de sécurité affectant MAXPRIMACY, veuillez contacter :

security@maxprimacy.com

Veuillez fournir suffisamment d’informations pour nous permettre de comprendre et de reproduire le problème, dans la mesure du possible.

Un rapport utile peut comporter :

une description claire de la vulnérabilité présumée ;
l’URL, la page, le point de terminaison ou la fonctionnalité concernés ;
étapes nécessaires pour reproduire le problème ;
des captures d’écran ou d’autres éléments justificatifs ;
l’impact potentiel sur la sécurité ;
toutes les conditions requises pour l’exploitation ;
les mesures correctives proposées, le cas échéant ;
vos coordonnées si vous souhaitez que nous vous recontactions.

Veuillez ne pas inclure de données personnelles superflues, d’identifiants, d’informations confidentielles provenant de tiers ou de copies de données obtenues auprès d’autres utilisateurs.

Si vous devez transmettre des éléments de preuve sensibles, veuillez nous contacter au préalable afin que nous puissions convenir d’un mode de transmission adapté.

2. Champ d’application

Sauf confirmation écrite expresse de MAXPRIMACY indiquant le contraire, la présente politique s’applique uniquement à :

https://maxprimacy.com/

ainsi que les fonctionnalités du site web destiné au grand public, directement gérées par MAXPRIMACY.

Le fait que le site web soit inclus dans le périmètre ne vous autorise pas à effectuer des tests d’intrusion sans restriction ni à accéder à des systèmes non publics.

3. Hors champ d’application

Sauf autorisation expresse par écrit, les éléments suivants ne relèvent pas du champ d’application de la présente politique :

les systèmes, infrastructures ou services exploités par des tiers ;
infrastructure du fournisseur d’hébergement non contrôlée par MAXPRIMACY ;
infrastructure du fournisseur de messagerie ;
les réseaux sociaux ;
les prestataires de services de paiement, bancaires ou de signature électronique ;
les plateformes d’analyse, de cloud, d’IA ou de SaaS exploitées par des tiers ;
les systèmes ou les données des clients ;
les systèmes de stockage non publics ;
une infrastructure administrative qui n’est pas intentionnellement mise à la disposition du public ;
les appareils des salariés ou des prestataires ;
locaux ou systèmes de sécurité physiques.

Si vous constatez un problème affectant un système tiers utilisé par MAXPRIMACY, veuillez le signaler au prestataire concerné, sauf si ce problème résulte spécifiquement de la configuration ou de la mise en œuvre de MAXPRIMACY.

4. Recherche en matière de sécurité menée de bonne foi

Nous encourageons les travaux de recherche visant à identifier et à contribuer à corriger les véritables failles de sécurité.

Les tests doivent se limiter au strict minimum raisonnablement nécessaire pour confirmer l’existence d’une vulnérabilité et en comprendre l’impact potentiel.

Si vous tombez sur des données à caractère personnel, des informations confidentielles, des identifiants ou toute autre information à laquelle vous n’êtes pas censé avoir accès :

cessez de consulter ces informations ;
ne copiez pas et ne conservez pas plus que ce qui est strictement nécessaire pour illustrer le problème ;
ne divulguez pas ces informations à des tiers ;
vous prions d’en informer MAXPRIMACY dans les plus brefs délais.

La recherche de vulnérabilités menée de bonne foi désigne généralement une recherche visant à améliorer la sécurité plutôt qu’à causer un préjudice, à obtenir un avantage commercial indu, à extorquer de l’argent ou à exploiter les utilisateurs concernés.

Cette approche est conforme aux recommandations largement répandues en matière de divulgation des vulnérabilités, qui mettent l’accent sur des tests minimaux, la prévention des préjudices et le signalement rapide des vulnérabilités.

5. Activités interdites

La présente politique n’autorise pas :

les attaques par déni de service ou par déni de service distribué ;
une interruption ou une dégradation intentionnelle du service ;
déploiement de logiciels malveillants ;
ransomware ;
essais destructifs ;
la suppression, l’altération ou la modification de données ;
le « credential stuffing » ;
attaque par pulvérisation de mots de passe ;
les attaques par force brute allant au-delà des tests minimaux spécifiquement requis pour mettre en évidence un problème ;
hameçonnage ;
ingénierie sociale ;
usurpation d’identité ;
agressions physiques ;
accéder aux comptes d’autres utilisateurs ;
la persistance dans les systèmes MAXPRIMACY ;
mouvement latéral entre les systèmes ;
une élévation des privilèges allant au-delà du strict nécessaire pour démontrer l’existence d’une vulnérabilité ;
télécharger, extraire ou conserver des ensembles de données ;
tester des systèmes tiers sans leur autorisation ;
accéder aux informations relatives aux clients ;
l’utilisation d’une faille de sécurité à des fins d’exploitation commerciale, d’extorsion ou de coercition.

Ne poursuivez pas les tests une fois que la faille de sécurité a été mise en évidence si la poursuite de ces activités est susceptible d’accroître le risque ou l’exposition.

6. Analyse automatisée

Un scan de sécurité automatisé, raisonnable et non perturbateur, peut être utilisé sur les fonctionnalités des sites Web accessibles au public relevant du champ d’application, à condition qu’il :

n’affecte pas de manière significative la disponibilité du service ;
ne génère pas de trafic excessif ;
ne cherche pas à exploiter le système de manière destructive ;
n’accède pas à des données sans rapport ;
respecte des limites techniques raisonnables en matière de débit.

Les analyses à grande échelle, le fuzzing intensif, les tests de charge ou toute autre activité susceptible de nuire au bon fonctionnement du service nécessitent une autorisation écrite préalable.

7. Ce que vous pouvez attendre de MAXPRIMACY

Pour les rapports soumis conformément à la présente politique, MAXPRIMACY s’efforcera de :

accuser réception dans un délai raisonnable, généralement dans les 5 jours ouvrés;
examiner le rapport en toute bonne foi ;
demander des informations complémentaires si nécessaire ;
évaluer l’impact potentiel ;
prendre des mesures correctives proportionnées lorsque le problème est confirmé ;
rendre compte des progrès significatifs lorsque cela se justifie raisonnablement.

La complexité et la priorité des problèmes de sécurité variant, nous ne pouvons garantir de délai précis pour leur résolution.

Les vulnérabilités critiques peuvent se voir accorder la priorité par rapport aux problèmes présentant un risque moindre.

8. Clause d’exonération pour la recherche menée de bonne foi

Lorsque des recherches en matière de sécurité sont menées de bonne foi, qu’elles s’inscrivent dans le champ d’application de la présente politique et qu’elles respectent les restrictions susmentionnées, MAXPRIMACY n’a pas l’intention d’engager une action en justice au seul motif de ces recherches autorisées.

La présente déclaration s’applique uniquement aux actions que MAXPRIMACY est légalement habilitée à autoriser.

Ce n’est pas le cas :

conférer une immunité vis-à-vis de la législation applicable ;
lier les autorités chargées de l’application de la loi ou les autorités de régulation ;
autoriser l’accès à des systèmes tiers ;
renoncer aux droits des tiers ;
protéger les activités menées à des fins malveillantes, frauduleuses, coercitives ou extorqueuses.

Si vous avez un doute quant à savoir si une activité envisagée est autorisée, veuillez contacter security@maxprimacy.com avant de vous lancer.

9. Communication responsable et coordonnée

Veuillez accorder à MAXPRIMACY un délai raisonnable pour enquêter sur une vulnérabilité signalée et y remédier avant de divulguer publiquement des détails techniques susceptibles d’accroître le risque de sécurité.

Nous pouvons convenir avec la personne ayant signalé le fait d’un délai de divulgation approprié, en fonction :

gravité ;
complexité ;
systèmes concernés ;
l’existence d’une mesure corrective ;
risque pour les utilisateurs ou des tiers.

Aucune disposition de la présente section n’a pour but d’empêcher les divulgations requises par la loi.

10. Reconnaissance des travaux de recherche en matière de sécurité

MAXPRIMACY peut, à sa seule discrétion et avec le consentement du chercheur, rendre publique la reconnaissance d’une personne ayant signalé de manière responsable une vulnérabilité avérée.

La reconnaissance n’est pas garantie.

Un chercheur peut également demander à rester anonyme.

11. Absence d’engagement en matière de programme de récompenses pour la découverte de failles

La présente politique de divulgation responsable ne constitue pas un programme de prime aux bogues.

La soumission d’un rapport de vulnérabilité n’entraîne pas :

un droit à paiement ;
un droit à une indemnisation ;
une relation contractuelle ;
une relation de travail ou une relation avec un prestataire ;
une obligation pour MAXPRIMACY d’acheter des services.

MAXPRIMACY peut, à sa seule discrétion, décider de récompenser des contributions exceptionnelles ; toutefois, aucune récompense ne doit être considérée comme acquise, sauf accord écrit préalable explicite.

12. Confidentialité

Les données à caractère personnel transmises dans le cadre d’un rapport de vulnérabilité seront traitées à des fins telles que :

la réception et l’examen du rapport ;
communiquer avec le journaliste ;
examiner la question ;
tenir à jour les registres de sécurité appropriés ;
établir, faire valoir ou défendre des droits légaux lorsque cela s’avère nécessaire.

Pour plus d’informations, veuillez consulter la déclaration de confidentialité de MAXPRIMACY:

https://maxprimacy.com/legal/privacy/

13. Confidentialité

Les informations fournies par MAXPRIMACY dans le cadre de l’examen d’un rapport de sécurité peuvent elles-mêmes être confidentielles.

Sauf accord contraire, un journaliste ne doit pas publier d’informations confidentielles relatives aux mesures correctives, d’identifiants, de détails privés concernant les systèmes, de données à caractère personnel ou d’informations concernant des tiers.