Politique de divulgation coordonnée des vulnérabilités
✨ Vous avez trouvé une vulnérabilité dans un produit la Vitre ? Voici comment nous la signaler et comment nous traitons votre signalement.
Objet¶
la Vitre prend au sérieux la sécurité de ses produits et de ses clients. Cette politique explique comment nous signaler une vulnérabilité et comment nous traitons votre signalement.
Elle répond au règlement (UE) 2024/2847 sur la cyberrésilience (CRA), annexe I, partie II, point 5. Elle s'inspire de la norme ISO/IEC 29147.
Périmètre¶
Cette politique couvre :
- l'application la Vitre pour Windows ;
- le Compagnon, en version web et mobile ;
- les portails d'administration ;
- les API et services en ligne de la Vitre, sous les domaines lavit.re, lavitre.me et lavitre.space ;
- les serveurs relais (TURN) opérés par la Vitre.
Sont hors périmètre :
- l'infrastructure de nos fournisseurs (par exemple Scaleway, Netlify, Google, Microsoft) ;
- les postes et réseaux de nos clients ;
- l'ingénierie sociale et l'hameçonnage ;
- le déni de service ;
- les tests destructifs ou portant sur des données de clients.
Comment signaler¶
Écrivez à security@lavitre.fr, en français ou en anglais.
Indiquez dans votre message :
- le produit ou le service concerné, et sa version si vous la connaissez ;
- une description de la vulnérabilité et de son impact possible ;
- les étapes pour la reproduire ;
- votre preuve de concept, si vous en avez une ;
- la date de votre découverte ;
- vos coordonnées, et si vous souhaitez être remercié publiquement.
Pour des détails sensibles, nous pouvons convenir avec vous d'un moyen d'échange chiffré.
Notre fichier security.txt est publié sur https://lavit.re/.well-known/security.txt.
Responsable de la sécurité¶
La sécurité des produits la Vitre et le traitement des signalements sont placés sous la responsabilité de Thierry Bouquain, responsable de la sécurité des systèmes d'information (RSSI) de LA VITRE SAS. Les signalements adressés à security@lavitre.fr lui parviennent directement.
Nos engagements¶
- Accuser réception de votre signalement sous 2 jours ouvrés.
- Vous faire un premier retour qualifié sous 10 jours ouvrés.
- Corriger la vulnérabilité dans les délais ci-dessous, comptés à partir de sa confirmation.
- Vous tenir informé de l'avancement et vous prévenir quand le correctif est publié.
- Signaler au CERT-FR, comme l'exige le CRA, toute vulnérabilité activement exploitée.
| Gravité | Score CVSS | Délai de mise à disposition du correctif |
|---|---|---|
| Critique, activement exploitée | 9,0 à 10,0 | Mesure de contournement sous 72 heures ; correctif sous 7 jours |
| Critique | 9,0 à 10,0 | 7 jours |
| Élevée | 7,0 à 8,9 | 30 jours |
| Modérée | 4,0 à 6,9 | 90 jours |
| Faible | 0,1 à 3,9 | 120 jours ou prochaine version |
Ce que nous vous demandons¶
- N'accédez pas aux données d'autrui et ne les modifiez pas. Si vous y accédez par accident, arrêtez-vous et dites-le-nous.
- Arrêtez-vous à la preuve de concept.
- Ne dégradez pas le service pour les autres utilisateurs.
- Ne divulguez pas la vulnérabilité publiquement avant sa correction. Si elle n'est pas corrigée 90 jours après votre signalement, nous convenons ensemble de la date de publication.
Engagement de ne pas poursuivre¶
la Vitre n'engage pas de poursuites contre les chercheurs de bonne foi qui respectent cette politique.
Reconnaissance¶
Avec votre accord, nous vous remercions publiquement. la Vitre n'offre pas de récompense financière.
Avis de sécurité¶
Nous publions un avis de sécurité pour les vulnérabilités corrigées, avec les versions concernées et les mesures à appliquer.
Ressources complémentaires¶
Dernière mise à jour : 28 octobre 2026.
✨ Une information manque ?
Ce centre d’aide évolue avec vos besoins.Signalez-nous les termes, fonctionnalités ou usages à expliciter ou contactez le support pour un accompagnement personnalisé.
Vous rapprocher de ce qui compte. Nous enrichissons cette ressource ensemble.