🛡️

Divulgation responsable des vulnérabilités

SMARTGUARD-IA — SMART-IT AFRICA · Responsible Disclosure Policy

🤝 Engagement (safe harbor). Smart-IT Africa accueille les signalements de vulnérabilités faits de bonne foi. Un chercheur qui respecte la présente politique ne fera l'objet d'aucune poursuite et sera traité comme un partenaire (remerciement, mention publique si vous le souhaitez).

📮 Comment nous signaler une faille

Contactez notre équipe sécurité par courriel :

✉️ security@smartitafrica.pro

Informations utiles : description de la faille, composant / URL concerné, étapes de reproduction, impact, un proof-of-concept minimal, et votre identité (pour le remerciement) — ou l'anonymat si vous le préférez.

Le fichier machine correspondant est publié à /.well-known/security.txt (RFC 9116).

🎯 Périmètre

Dans le périmètre :

l'application SmartGuard-IA et son portail ;
les mises à jour signées ;
l'API documentée du produit.

Hors périmètre / interdit :

l'accès à des données réelles de clients ;
le déni de service (DoS / DDoS) ;
l'ingénierie sociale des employés ou des clients, le spam, les tests physiques ;
les boîtiers on-premise installés chez un client (propriété du client — passez par le client concerné).

📏 Règles pour le chercheur

n'accédez pas, ne modifiez pas et n'exfiltrez pas de données autres que les vôtres ;
arrêtez-vous au proof-of-concept (pas d'exploitation au-delà du nécessaire) ;
ne divulguez pas publiquement avant correction (divulgation coordonnée, ci-dessous) ;
respectez la vie privée et la disponibilité du service.

⏱️ Nos engagements de délai

Étape	Objectif
Accusé de réception	2 jours ouvrés
Qualification (sévérité CVSS, périmètre)	5 jours ouvrés
Correction — Critique / Élevée	30 jours
Correction — Moyenne / Faible	90 jours
Retour final au chercheur	à la clôture

🤝 Divulgation coordonnée

Nous privilégions une publication conjointe après correction (ou au plus tard 90 jours après le signalement, délai de grâce standard), de préférence d'un commun accord. Un correctif de sécurité est diffusé à l'ensemble du parc via notre chaîne de mise à jour signée.

Cadre : Loi n°2013-451 relative à la lutte contre la cybercriminalité (Côte d'Ivoire) — autorité ARTCI. La présente politique concerne les failles de notre plateforme ; le traitement des vulnérabilités détectées sur le SI d'un client relève de nos engagements contractuels de confidentialité.