Politique de sécurité & divulgation coordonnée des vulnérabilités
E2 Technologies — Vulnerability Disclosure Policy (VDP) · Version du 9 septembre 2026
Contact sécurité : [email protected]
Fichier standard : /.well-known/security.txt (RFC 9116)
English reports are welcome — this policy applies identically to reports written in English.
Fichier standard : /.well-known/security.txt (RFC 9116)
English reports are welcome — this policy applies identically to reports written in English.
Nous accueillons avec reconnaissance tout rapport de vulnérabilité de bonne foi. Cette politique décrit le périmètre couvert, les garanties offertes aux chercheurs (« safe harbor ») et nos engagements de traitement.
Périmètre (scope)
- Tout service packagé dans le système PowerBoxOS (image système signée E2, services embarqués, API de commissioning).
- Les mises à jour et le canal de distribution logicielle PowerBoxOS.
Hors périmètre : les services cloud PowerHub, couverts par leur propre politique. Les tests sur des installations de production de tiers sont exclus.
Safe harbor
Nous n'engagerons aucune poursuite contre une recherche de sécurité menée de bonne foi qui :
- teste des instances de laboratoire (jamais la production de tiers) ;
- respecte la confidentialité des données des utilisateurs ;
- ne dégrade pas le service ;
- nous laisse un délai raisonnable de correction avant toute publication.
Engagements de traitement (SLA)
| Sévérité | Accusé de réception | Correction |
|---|---|---|
| Critique (RCE, contournement d'authentification, exfiltration) | 24 h | 7 jours |
| Élevée | 48 h | 30 jours |
| Moyenne | 5 jours | 90 jours |
| Faible | 15 jours | Prochaine version |
Contenu attendu d'un rapport
- Description précise et étapes de reproduction ;
- Version affectée (
cat /etc/powerboxos-release) ; - Impact estimé ;
- Preuve de concept si applicable.
Pour toute vulnérabilité confirmée, nous publions un advisory public et demandons un CVE (via MITRE).
Support et correctifs
- 15 ans de correctifs de sécurité gratuits à partir de la première mise sur le marché d'une version majeure (période de support déclarée, CRA art. 13(8)).
- SBOM au format SPDX — celui que notre chaîne de construction produit nativement — et veille CVE, tenus pendant toute la période de support.
Engagement pris, mécanisme pas encore en service (état au 9 septembre 2026) : la génération de SBOM et la veille CVE automatisée ne sont pas encore branchées ; elles se déclenchent à la première image destinée à être livrée. Nous préférons écrire que la machine n'est pas encore là plutôt que de laisser croire qu'elle tourne. - Dépréciation documentée au minimum 12 mois avant tout arrêt de support.