Formulaire de signalement
Ce qui se passe après votre signalement
Accusé de réception (sous 24h)
Vous recevez un email de confirmation avec un identifiant de ticket unique vous permettant de suivre l'avancement de votre signalement.
Analyse et vérification (2 à 5 jours)
Notre équipe d'analystes examine le signalement : authenticité des données, identification du service affecté, estimation du nombre de comptes, classification de la criticité. Si des informations complémentaires sont nécessaires, nous vous contactons.
Notification au service affecté
Avant l'intégration publique dans notre base, nous tentons de notifier le responsable du service affecté via ses coordonnées officielles (security.txt, CERT, email abuse), lui laissant un délai raisonnable pour réagir (généralement 72h).
Intégration dans la base
Une fois vérifiée et après le délai de notification, la fuite est intégrée dans la base BreachRadar et devient consultable. Vous êtes notifié(e) par email et crédité(e) si vous avez coché l'option correspondante.
Signalement aux autorités si nécessaire
Pour les fuites affectant un grand nombre de personnes en France ou dans l'UE, nous informons la CNIL et/ou l'ANSSI conformément à nos obligations légales (RGPD art. 33-34).
Programme de divulgation responsable
Ce programme s'adresse aux chercheurs en sécurité qui auraient découvert une vulnérabilité dans l'infrastructure de BreachRadar (site, API, serveurs). Il ne s'applique pas aux fuites de données tierces, pour lesquelles le formulaire ci-dessus est approprié.
Ce qui est dans le périmètre
- Injections SQL ou NoSQL
- XSS stocké ou réfléchi
- CSRF sur des actions sensibles
- Contournement d'authentification
- Accès non autorisé aux données
- Exposition de secrets ou credentials
- Vulnérabilités de configuration
Ce qui est hors périmètre
- Attaques nécessitant un accès physique
- Attaques de force brute / DoS volumétriques
- Problèmes affectant uniquement des navigateurs obsolètes
- Absence de headers de sécurité non critiques
- Résultats de scanners automatisés non vérifiés
- Ingénierie sociale sur nos employés
Règles de conduite
- Ne pas accéder, modifier ou supprimer des données sans autorisation ;
- Ne pas affecter la disponibilité du service pour les autres utilisateurs ;
- Ne pas exploiter la vulnérabilité au-delà de ce qui est nécessaire pour la démontrer ;
- Nous contacter avant toute publication publique (délai de coordination : 90 jours maximum) ;
- Agir de bonne foi et dans une démarche constructive.
Comment soumettre
Envoyez votre rapport à security@breachradar.fr en chiffrant si possible votre email avec notre clé PGP (empreinte : 8F3A 1B2C 4D5E 6F7A 8B9C 0D1E 2F3A 4B5C 6D7E 8F9A, disponible sur keys.openpgp.org). Incluez : description de la vulnérabilité, étapes de reproduction, impact potentiel, et si possible une preuve de concept.