Politique de sécurité

Ce que couvre cette politique

Cette politique couvre le VerySafe EUDI Verifier, édité par LimogiAI Solutions Inc :

• le service hébergé à l’adresse verify.verysafe.id ;
• l’édition auto-hébergée : l’image ghcr.io/limogiai/eudi-verifier et les kits d’installation qui l’accompagnent.

Signaler une vulnérabilité

Écrivez à admin@limogi.ai. Merci de nous indiquer :

• ce qui est concerné : le service hébergé, ou une version auto-hébergée et sa configuration ;
• comment la reproduire, et ce qu’un attaquant y gagne ;
• si vous savez qu’elle est exploitée ;
• si vous souhaitez être cité, et sous quelle forme.

Comment tester

Utilisez les attestations de test de l’UE, jamais les données d’une personne réelle. Ne menez de tests intrusifs que sur votre propre installation ; sans licence, l’édition auto-hébergée fonctionne comme une sandbox. Sur verify.verysafe.id, ne faites rien qui ralentisse le service ou atteigne les données d’un autre client.

Et ensuite

1. Nous confirmons la réception de votre signalement et vous indiquons qui le traite.
2. Nous l’examinons, puis nous vous disons si nous partageons votre analyse et quelle gravité nous attribuons à la vulnérabilité.
3. Nous corrigeons la vulnérabilité. Le service hébergé reçoit le correctif dès qu’il est prêt ; les clients de l’édition auto-hébergée le reçoivent dans une nouvelle version.
4. Nous indiquons aux clients concernés ce qu’ils doivent faire.
5. Une fois le correctif disponible, nous publions un avis de sécurité : ce qui était concerné, quelles versions, quelle gravité et comment corriger. Nous vous citons, si vous le souhaitez.

Merci de garder les détails confidentiels jusqu’à la publication de l’avis ; nous convenons de sa date avec vous. Le délai de chaque étape n’est pas encore fixé.

Lorsque le droit de l’UE l’exige, nous signalons aussi une vulnérabilité activement exploitée, ou un incident grave, aux autorités de cybersécurité de l’UE. Le règlement sur la cyberrésilience (Cyber Resilience Act) nous donne 24 heures pour une première alerte précoce.

Quelles versions sont corrigées

Un correctif est livré dans une nouvelle version. Les versions antérieures ne sont pas corrigées pour l’instant.

Ce qu’il ne nous revient pas de corriger

Les problèmes des systèmes de l’UE elle-même (les listes de confiance, le portefeuille et l’émetteur de référence), ou d’un portefeuille, relèvent de leurs concepteurs. Signalez-les-nous tout de même s’ils affectent nos verdicts : nous vous aiderons à les joindre.

Avis de sécurité

Les avis sont publiés sur ce site, et chacun aussi sous forme de document CSAF 2.0 que les outils de sécurité savent lire.

Voir les avis de sécurité