La politique de divulgation coordonnée

L’obligation

L’annexe I, partie II, point 5, impose de mettre en place et de faire appliquer une politique de divulgation coordonnée des vulnérabilités. Les deux verbes comptent : une politique publiée mais dont les signalements restent sans réponse ne satisfait pas l’exigence.

Le point 6 y ajoute la mise à disposition d’une adresse de contact, et l’annexe II impose de faire figurer un point de contact unique dans les informations à l’utilisateur, avec l’indication de l’endroit où il se situe.

Le contenu d’une politique CVD

Section	Contenu
Périmètre	Produits, versions et domaines couverts — et ce qui ne l’est pas
Hors périmètre	Systèmes tiers, environnements de test clients, types de défauts non traités
Canal de signalement	Adresse dédiée, formulaire, clé publique de chiffrement
Accusé de réception	Délai d’engagement — 3 jours ouvrés est une pratique courante
Délai de réponse	Délai d’une première évaluation qualifiée
Délai de divulgation	Fenêtre convenue avant publication — 90 jours est la pratique de référence, ajustable
Engagement de non-poursuite	Pour les recherches de bonne foi restant dans le périmètre
Reconnaissance	Crédit dans l’avis, page de remerciements
Récompense	Le cas échéant, barème et conditions
Processus interne	Ce qui se passe après réception, et le point d’escalade
Langues acceptées	Au minimum français et anglais

L’engagement de non-poursuite

C’est la clause la plus sensible, et celle qui détermine si des chercheurs vous signaleront quoi que ce soit.

Elle engage l’entreprise à ne pas engager d’action civile ni de plainte pénale contre une personne qui, de bonne foi :

• reste dans le périmètre annoncé ;
• n’exfiltre pas de données au-delà de ce qui est strictement nécessaire à la démonstration ;
• ne dégrade pas la disponibilité du service ;
• ne divulgue pas avant la fenêtre convenue ;
• signale par le canal indiqué.

Elle doit être validée par la direction juridique avant publication, et rédigée en termes précis : une clause vague est inutile pour le chercheur et dangereuse pour l’entreprise.

Le fichier security.txt

Norme RFC 9116, publié à /.well-known/security.txt :

Contact: mailto:psirt@example.org
Expires: 2027-08-19T00:00:00Z
Encryption: https://example.org/pgp-key.txt
Preferred-Languages: fr, en
Policy: https://example.org/fr/securite/
Acknowledgments: https://example.org/fr/securite/#remerciements
Canonical: https://example.org/.well-known/security.txt

Le piège. Le champ Expires doit rester dans le futur. Un security.txt expiré est un signal de négligence visible de tous, et il est régulièrement relevé par les outils d’évaluation externe. Sa mise à jour doit être automatisée, pas confiée à un rappel de calendrier.

Les normes de référence

• ISO/IEC 29147 — divulgation des vulnérabilités : comment recevoir et publier.
• ISO/IEC 30111 — traitement des vulnérabilités : comment enquêter et corriger.

S’y référer explicitement dans la politique renforce sa crédibilité et facilite les réponses aux questionnaires clients.

Le cadre français

L’article L. 2321-4 du code de la défense permet à une personne de bonne foi de transmettre à l’ANSSI une information sur une vulnérabilité affectant un système, l’ANSSI préservant la confidentialité de son identité. C’est une voie ouverte au chercheur indépendamment de votre politique.

Conséquence pratique : un chercheur peut passer par l’ANSSI plutôt que par vous. Mieux vaut que votre canal soit le plus simple et le plus fiable des deux.

Le processus interne

Étape	Délai cible	Responsable
Accusé de réception	3 jours ouvrés	PSIRT
Qualification initiale	7 jours	PSIRT + ingénierie
Retour qualifié au chercheur	10 jours	PSIRT
Correctif ou position motivée	Selon les SLA	Ingénierie
Coordination de la date de publication	Avant publication	PSIRT + chercheur
Publication de l’avis	À la disponibilité du correctif	PSIRT
Remerciement	À la publication	PSIRT

Chaque signalement reçu est inscrit à un registre, qu’il soit retenu ou non. Ce registre est la preuve que la politique est « appliquée » et non seulement « mise en place ».

Faut-il devenir autorité de numérotation CVE ?

Pour	Contre
Maîtrise du calendrier de publication	Engagement de qualité et de réactivité
Cohérence des identifiants sur vos produits	Charge de processus permanente
Crédibilité auprès des chercheurs et des clients	Exposition : vos publications deviennent comptées
Facilite la corrélation chez vos clients	Nécessite un PSIRT réellement armé

La question ne se pose utilement qu’une fois le processus CVD rodé et le volume de signalements significatif. La poser trop tôt détourne l’attention du sujet réel, qui est de répondre aux signalements dans les délais annoncés.

La page publique

Votre politique est publiée sur Divulgation des vulnérabilités. Elle doit être accessible sans authentification, à une URL stable, et référencée depuis security.txt et depuis la documentation de chaque produit.