Signaler une vulnérabilité

RFC 9116 /.well-known/security.txt · révisé le 2026-08-12

Ce site est tenu par un professionnel de la cybersécurité. Un outil qui évalue les sites des autres doit accepter - et faciliter - qu'on examine le sien. Si vous avez trouvé une faille sur conformitepme.ca, cette page dit comment nous la signaler et ce qu'on s'engage à faire ensuite.

Comment signaler

Écrivez à [email protected] (security@ fonctionne aussi), en français ou en anglais. Ce qui nous aide à corriger vite :

• l'adresse touchée et les étapes pour reproduire le problème;
• l'impact que vous avez observé, une capture d'écran au besoin;
• votre nom, si vous souhaitez être remercié publiquement - sinon dites-le, et rien ne sera publié.

Nos engagements

• un accusé de réception sous 5 jours ouvrables;
• un suivi jusqu'à la correction - on vous dit quand c'est réglé;
• un remerciement public si vous le souhaitez;
• pas de programme de récompense pour l'instant - on préfère le dire franchement que de le laisser deviner.

La recherche de bonne foi

Nous n'engagerons aucune poursuite et ne déposerons aucune plainte contre une personne qui cherche et signale de bonne foi. De bonne foi, c'est-à-dire :

• sans dégrader le service ni saturer le serveur;
• en accédant au minimum de renseignements nécessaire pour démontrer la faille, sans les copier ni les diffuser;
• sans toucher aux comptes ni aux données d'autres utilisateurs;
• sans ingénierie sociale - ni envers nos clients, ni envers nous;
• en nous laissant un délai raisonnable pour corriger avant toute divulgation publique - 90 jours nous va.

Le périmètre

• Couvert : conformitepme.ca, ses pages et son application.
• Non couvert : les sites des clients que nos outils évaluent - ils ne vous ont rien demandé -, et les services tiers (Stripe, Cloudflare), qui ont leurs propres programmes.