Sécurité chez BreachVex

Divulgation responsable

Si vous trouvez un problème de sécurité dans BreachVex ou dans notre infrastructure, on veut le savoir.

• Périmètre : le domaine breachvex.com, nos API publiques, le worker BreachVex et tout sous-domaine first-party.
• Safe harbor : nous ne poursuivrons pas un chercheur qui agit de bonne foi. Cela exclut le DoS, l'exfiltration au-delà de ce qui est nécessaire pour démontrer l'impact, et l'ingénierie sociale envers nos équipes.
• Signalement : envoyez un compte-rendu clair avec les étapes de reproduction à security@breachvex.com.
• Rapports chiffrés : demandez notre canal chiffré privilégié dans votre premier email ; nous répondrons hors-bande.
• SLA : accusé de réception sous 48 heures calendaires. Cible de tri et correction de 30 jours pour les problèmes high/critical.
• Divulgation coordonnée : nous convenons de la date de publication avec le rapporteur, au cas par cas.

Hors périmètre

• Attaques par déni de service (DoS) ou DDoS contre notre infrastructure.
• Ingénierie sociale envers notre équipe, nos prestataires ou nos clients.
• Vulnérabilités dans des services tiers dont nous dépendons (à signaler au fournisseur en amont).

Traitement des données

• Workers éphémères : chaque scan exécute de vrais outils offensifs standards de l'industrie dans un conteneur isolé, créé pour ce scan et détruit à la fin.
• Chiffrement des identifiants : AES-256-GCM sur les identifiants que vous fournissez pour les scans authentifiés, avec une clé côté serveur que vous ne détenez jamais. TLS 1.3 en transit.
• Données hébergées en UE : les données de scan client sont stockées et traitées en UE. Quelques sous-traitants de la couche site web opèrent hors EEE sous Clauses Contractuelles Types ; la liste complète est dans notre politique de confidentialité.
• Prouver une faille de contrôle d'accès exige de montrer les données qu'elle expose. Un finding peut donc porter un extrait de réponse plafonné à 3 000 caractères, gardé uniquement pour démontrer l'impact et jamais exploité autrement.
• Nous conservons les logs worker 90 jours, pour le debug. Les rapports suivent vos réglages de rétention.
• RGPD : protection des données dès la conception, DPA disponible sur demande.

Infrastructure

Notre architecture de production :

• Exécution sandboxée : les workers tournent dans des conteneurs isolés à capacités restreintes, sans aucun accès au filesystem hôte.
• Isolation réseau : chaque scan tourne dans son propre namespace réseau, sans trafic cross-tenant.
• Les workers ne gardent aucune donnée client persistante : l'état vit dans notre base chiffrée, pas sur la flotte.

Autorisation & périmètre

Les clients doivent signer une autorisation avant tout lancement de scan. On refuse de scanner des actifs sans périmètre écrit explicite. Un pentest sans autorisation est illégal dans la plupart des juridictions, et on ne sera pas partie prenante.

Hall of Fame

Les chercheurs qui signalent un problème valide sont crédités ici, s'ils sont d'accord. Aucun signalement reçu à ce jour.