Sécurité

Si vous avez trouvé une faille dans ce service, nous voulons le savoir. Cette page dit comment transmettre un signalement responsable et comment il sera examiné.

Signaler

Adressez le signalement à la direction du groupe, en décrivant ce que vous avez observé, l'URL concernée et les étapes permettant de le reproduire. Une capture d'écran suffit souvent. N'incluez aucune donnée d'élève, de famille ou de personnel dans le signalement : décrivez le défaut, pas ce qu'il vous a permis de voir.

Ce que nous vous demandons

• Ne testez pas contre le service en production. Il contient les dossiers d'enfants réels. Démontrer un défaut de contrôle d'accès en consultant des dossiers cause précisément le dommage que vous venez signaler.
• N'extrayez, ne conservez et ne partagez aucune donnée rencontrée. Si vous en avez vu, dites-le : cela change la manière dont nous traitons l'incident.
• Pas de déni de service, pas d'envoi massif de messages, pas d'ingénierie sociale des personnels ou des familles.
• Ne publiez pas le défaut avant que le groupe ait pu l'évaluer et mettre en œuvre les mesures proportionnées à sa gravité.

Traitement du signalement

• La direction cherche à accuser réception, qualifier le risque et obtenir les précisions utiles.
• La protection et la correction sont priorisées selon l'exposition réelle.
• L'auteur est informé de la clôture lorsque l'enquête et la sécurité le permettent.

Cadre de bonne foi

Le groupe n'entend pas agir du seul fait d'un signalement de bonne foi après une découverte fortuite, si son auteur cesse le test, ne cherche pas d'autres données, ne conserve ni ne diffuse ce qu'il a vu et respecte ces règles. Ce cadre ne constitue pas une autorisation de tester, ne couvre aucune violation de la loi ou des droits d'un tiers et ne lie ni une personne lésée ni une autorité publique.

Hors périmètre

Les rapports issus d'un scanner automatique sans démonstration d'impact, les en-têtes manquants sans conséquence établie, et les failles de composants tiers déjà publiées et corrigées en amont ne nous apprennent rien d'actionnable. Un défaut qui expose une donnée d'élève, contourne un contrôle d'accès ou touche un flux d'argent nous intéresse toujours, même s'il paraît mineur.

Pas de programme de récompense

Ce service est l'outil interne d'un groupe scolaire et non un produit commercial : il n'y a pas de prime attachée à un signalement. Un remerciement ou une mention publique ne peut être accordé qu'avec l'accord de son auteur et lorsque cela ne compromet pas la sécurité.