NBS Consulting encourage la recherche éthique en sécurité. Si vous avez découvert une vulnérabilité, nous vous remercions de nous la signaler de manière coordonnée — dans un esprit de transparence et de collaboration.
NBS Consulting est une société spécialisée en cybersécurité et outsourcing IT. À ce titre, nous accordons une importance capitale à la sécurité de nos systèmes, de nos données et de celles de nos clients. Nous reconnaissons que, malgré tous nos efforts, des vulnérabilités peuvent exister.
Nous croyons fermement que la collaboration avec la communauté de la sécurité contribue à rendre l'écosystème numérique plus sûr pour tous. C'est pourquoi nous avons établi cette politique de divulgation responsable (Responsible Disclosure Policy) pour encourager les chercheurs en sécurité à nous signaler les vulnérabilités qu'ils découvrent, de manière éthique et coordonnée.
Notre engagement : Nous nous engageons à traiter chaque signalement avec sérieux, à communiquer de manière transparente avec les chercheurs, et à corriger les vulnérabilités confirmées dans des délais raisonnables. No bullshit — nous disons ce que nous faisons, et nous faisons ce que nous disons.
Cette politique s'inspire des meilleures pratiques internationales, notamment du cadre ISO/IEC 29147 (divulgation des vulnérabilités) et ISO/IEC 30111 (traitement des vulnérabilités).
Cette politique de divulgation responsable s'applique aux systèmes et services suivants, directement opérés par NBS Consulting :
Important : Les systèmes de nos clients sont strictement hors périmètre. Toute tentative de test sur les infrastructures de nos clients sans autorisation explicite de leur part constitue une activité illégale, indépendamment de cette politique.
Si vous pensez avoir découvert une vulnérabilité de sécurité dans l'un de nos systèmes, nous vous invitons à suivre le processus suivant :
Avant de nous contacter, rassemblez les informations nécessaires : description de la vulnérabilité, étapes de reproduction, impact potentiel, captures d'écran ou preuves de concept (PoC). Plus votre rapport est détaillé, plus nous pourrons agir rapidement.
Transmettez votre rapport à security@nbsconsulting.com. Pour les vulnérabilités critiques, nous vous encourageons à chiffrer votre message avec notre clé PGP publique (disponible sur demande). Indiquez clairement « Responsible Disclosure » dans l'objet de votre e-mail.
Nous vous confirmerons la réception de votre rapport dans un délai de 48 heures ouvrées. Nous vous attribuerons un identifiant de suivi unique pour faciliter les échanges ultérieurs.
Notre équipe sécurité évaluera la vulnérabilité signalée, la reproduira dans un environnement contrôlé et déterminera sa criticité selon le référentiel CVSS v3.1. Nous vous tiendrons informé de l'avancement de cette analyse.
Une fois la vulnérabilité confirmée, nous travaillerons à sa correction dans les délais définis selon sa criticité. Nous pourrons vous solliciter pour valider que le correctif est efficace avant sa mise en production.
Après correction, nous vous informerons de la clôture du dossier. Si vous souhaitez publier vos recherches, nous vous demandons de nous en informer au préalable afin de coordonner la divulgation publique — généralement 90 jours après le signalement initial.
En échange de votre coopération et du respect de cette politique, NBS Consulting s'engage à :
Nous nous efforçons de respecter les délais suivants selon la criticité de la vulnérabilité :
Bonne foi : Si vous agissez de bonne foi, en respectant cette politique et sans causer de dommages, nous considérerons votre activité comme autorisée et ne prendrons aucune mesure légale à votre encontre. Votre sécurité est notre priorité commune.
Pour que votre recherche soit considérée comme menée de bonne foi et bénéficie des protections prévues par cette politique, vous devez respecter les règles suivantes :
Attention : Le non-respect de ces règles peut entraîner l'annulation des protections prévues par cette politique et exposer le chercheur à des poursuites judiciaires conformément aux lois applicables, notamment la loi française sur la fraude informatique (article 323-1 et suivants du Code pénal).
Les catégories de vulnérabilités suivantes sont généralement considérées comme hors périmètre ou de faible priorité, sauf si vous pouvez démontrer un impact significatif :
Pour tout signalement de vulnérabilité ou question relative à cette politique, veuillez utiliser les canaux suivants :
Pour tout signalement de vulnérabilité, envoyez un e-mail détaillé à :
security@nbsconsulting.com
Objet recommandé : [Responsible Disclosure] — [Description courte]
Pour les vulnérabilités critiques, demandez notre clé PGP publique afin de chiffrer votre rapport.
Notre clé PGP publique est disponible sur demande à l'adresse e-mail ci-dessus. Nous vous encourageons à l'utiliser pour tout signalement impliquant des données sensibles ou des vulnérabilités de criticité élevée ou critique.
Empreinte de clé : disponible sur demande.
Pour toute autre question non liée à la sécurité, utilisez notre formulaire de contact général :
nbsconsulting.com/contact
Ne transmettez pas de rapports de vulnérabilité via ce canal — ils pourraient ne pas être traités avec la priorité requise.
NBS Consulting reconnaît et apprécie la contribution des chercheurs en sécurité qui nous aident à améliorer la sécurité de nos systèmes. En guise de remerciement pour les signalements valides et conformes à cette politique :
NBS Consulting ne propose pas actuellement de programme de bug bounty avec récompenses financières. Nous nous réservons le droit d'introduire un tel programme à l'avenir.
Hall of Fame : Nous remercions tous les chercheurs qui ont contribué à la sécurité de NBS Consulting en signalant des vulnérabilités de manière responsable. La liste des contributeurs reconnus sera publiée sur cette page dès que des signalements valides auront été reçus et traités.
NBS Consulting se réserve le droit de modifier cette politique de divulgation responsable à tout moment. Les modifications seront publiées sur cette page avec une date de mise à jour. Nous vous encourageons à consulter régulièrement cette page pour rester informé des éventuelles évolutions.
Pour toute question relative à cette politique, n'hésitez pas à nous contacter à security@nbsconsulting.com.
Contactez notre équipe sécurité directement. Nous traitons chaque signalement avec sérieux et dans les meilleurs délais — parce que la sécurité est notre métier, pas juste notre discours.