Politique de divulgation responsable

Introduction

BEEShop prend la sécurité de ses systèmes et des données de ses utilisateurs très au sérieux. Nous apprécions les contributions des chercheurs en sécurité et de la communauté de la sécurité au sens large pour nous aider à maintenir une plateforme sécurisée.

Périmètre

Cette politique s’applique aux systèmes suivants détenus par BEEShop :

beeshop.app — site web marketing
app.beeshop.app — application utilisateur
admin.beeshop.app — panneau d’administration

Seuls les systèmes détenus et exploités par BEEShop sont dans le périmètre. Les services tiers, même s’ils sont liés depuis notre plateforme, ne sont pas couverts par cette politique.

Comment signaler

Si vous avez découvert une vulnérabilité de sécurité, veuillez nous la signaler par e-mail :

Email : security@beeshop.app

Veuillez inclure les informations suivantes dans votre rapport :

Description de la vulnérabilité et de son impact potentiel
Étapes détaillées pour reproduire le problème
Preuve de concept (si disponible)
Votre évaluation de la gravité
Vos coordonnées pour le suivi

Une clé PGP est disponible sur demande pour les communications chiffrées.

Nos engagements

Lorsque vous signalez une vulnérabilité de bonne foi, nous nous engageons à :

Accuser réception de votre rapport dans un délai de 3 jours ouvrables
Fournir une évaluation initiale dans un délai de 10 jours ouvrables
Vous tenir informé de notre progression vers la résolution
Ne pas engager de poursuites judiciaires contre les chercheurs en sécurité de bonne foi qui respectent cette politique
Vous créditer publiquement (si vous le souhaitez) une fois la vulnérabilité résolue

Règles d’engagement

Lors de vos recherches en sécurité, vous devez :

Ne pas accéder, modifier ou supprimer des données appartenant à d’autres utilisateurs
Ne pas effectuer d’attaques par déni de service (DoS)
Ne pas divulguer publiquement la vulnérabilité avant que 90 jours se soient écoulés ou qu’un correctif soit déployé (selon la première éventualité)
Ne pas violer la vie privée d’autres utilisateurs
Tester uniquement avec vos propres comptes
Ne pas effectuer de scans automatisés excessifs pouvant dégrader les performances du service

Hors périmètre

Les éléments suivants ne sont pas considérés comme des vulnérabilités de sécurité valides dans le cadre de cette politique :

Attaques d’ingénierie sociale (hameçonnage, prétexte)
Problèmes de sécurité physique
Attaques par déni de service (DoS/DDoS)
Spam ou envoi de messages en masse
Vulnérabilités dans des services tiers
Attaques nécessitant un accès physique à l’appareil
En-têtes de sécurité manquants sans exploit démontrable
Divulgation de version logicielle sans vulnérabilité associée

Protection juridique

Les recherches en sécurité menées conformément à cette politique sont :

Autorisées en vertu de l’article 550bis du Code pénal belge (dispositions relatives à la criminalité informatique)
Exemptées des dispositions anti-contournement
Non soumises à des poursuites judiciaires de la part de BEEShop

Cette politique est alignée sur la Directive NIS2 (UE) 2022/2555 concernant la divulgation coordonnée des vulnérabilités.

Délais de réponse

Étape	Délai
Accusé de réception	3 jours ouvrables
Évaluation initiale	10 jours ouvrables
Mise à jour du statut	Tous les 14 jours
Résolution — Critique	7 jours
Résolution — Élevée	30 jours
Résolution — Moyenne	60 jours
Résolution — Faible	90 jours

Contact

Pour les rapports de vulnérabilités de sécurité :

Email : security@beeshop.app

Pour les demandes non liées à la sécurité :

Email : contact@beeshop.app