Sécurité chez BreachVex

Divulgation responsable

Si vous découvrez un problème de sécurité dans BreachVex ou notre infrastructure, on veut en entendre parler.

• Périmètre : le domaine breachvex.com, nos API publiques, le worker BreachVex et tout sous-domaine first-party.
• Safe harbor : nous ne poursuivrons pas en justice un chercheur agissant de bonne foi — pas de DoS, pas d'exfiltration au-delà de ce qui est nécessaire pour démontrer l'impact, pas d'ingénierie sociale envers nos équipes.
• Signalement : envoyez un email à security@breachvex.com avec un compte-rendu clair et des étapes de reproduction.
• Rapports chiffrés : demandez-nous notre canal chiffré privilégié dans votre email initial ; nous répondrons hors-bande.
• SLA : accusé de réception sous 48 heures. Cible de tri et correction de 30 jours pour les problèmes high/critical.
• Divulgation coordonnée : nous convenons d'une date de publication avec le rapporteur au cas par cas.

Hors périmètre

• Attaques par déni de service (DoS) ou DDoS contre notre infrastructure.
• Ingénierie sociale envers notre équipe, nos prestataires ou nos clients.
• Vulnérabilités dans des services tiers dont nous dépendons (à signaler au fournisseur en amont).

Traitement des données

• Workers éphémères : chaque scan exécute de vrais outils offensifs standards de l'industrie dans un conteneur isolé à usage unique, détruit à la fin du scan.
• Chiffrement des identifiants : AES-256-GCM sur les identifiants que vous fournissez pour les scans authentifiés, sous une clé côté serveur que vous ne détenez jamais. TLS 1.3 en transit.
• Données hébergées en UE : les données de scan client sont stockées et traitées en UE. Certains sous-traitants de la couche site web opèrent hors EEE sous Clauses Contractuelles Types — liste complète dans notre politique de confidentialité.
• Prouver une faille de contrôle d'accès exige de montrer les données qu'elle expose. Un finding peut donc porter un extrait de réponse plafonné à 3 000 caractères, qui sert uniquement à démontrer l'impact et n'est jamais exploité autrement.
• Les logs worker sont conservés 90 jours pour le debug. Les rapports suivent vos réglages de rétention.
• RGPD : protection des données dès la conception. DPA disponible sur demande.

Infrastructure

Notre architecture de production :

• Exécution sandboxée : les workers tournent dans des conteneurs isolés à capacités restreintes et aucun accès au filesystem hôte.
• Isolation réseau : chaque scan tourne dans son propre namespace réseau ; pas de trafic cross-tenant.
• Aucune donnée client persistante sur les workers — l'état vit dans notre base chiffrée, pas sur la flotte.

Autorisation & périmètre

Les clients doivent signer une autorisation avant tout lancement de scan. On refuse de scanner des actifs sans périmètre écrit explicite. Un pentest sans autorisation est illégal dans la plupart des juridictions — on ne sera pas partie prenante.

Hall of Fame

Les chercheurs ayant signalé des problèmes valides seront crédités ici — avec leur accord. Aucun signalement reçu à ce jour.