Scans de sécurité

Si vous souhaitez effectuer des scans de nos serveurs ou des sites web qui y sont associés, cela est en principe autorisé.
Toutefois, dans un souci de bonne coordination et de stabilité opérationnelle, nous souhaitons être informés au préalable de tels scans. Nous nous réservons par ailleurs le droit de bloquer toute activité susceptible d'affecter la disponibilité ou les performances de nos systèmes.

¶Gestion des vulnérabilités identifiées

Si un scan devait révéler des vulnérabilités potentielles dans nos systèmes, nous recevons naturellement avec plaisir toute information à ce sujet. Il convient toutefois de noter que nous effectuons nous-mêmes en continu des scans de sécurité approfondis et que nous traitons les éventuelles découvertes conformément aux pratiques en vigueur.

Il est important de savoir que de nombreux outils de scan automatisés fondent leurs évaluations sur des numéros de version ou des ports ouverts, par exemple, sans nécessairement vérifier si la vulnérabilité en question est réellement présente. Les outils ne tiennent souvent pas compte non plus du fait que le logiciel concerné a déjà fait l'objet d'un correctif pour les vulnérabilités connues. Nous vous invitons donc à valider et à examiner de manière critique toute découverte avant de nous la signaler.

Veuillez noter que les vulnérabilités identifiées sur des sites web simplement hébergés sur nos serveurs ne sont pas nécessairement liées à notre infrastructure ou à nos logiciels. La responsabilité de la maintenance et de la sécurité de ces sites web incombe en principe au propriétaire ou au développeur concerné. Les demandes concernant de telles découvertes doivent donc être adressées directement à la partie concernée.

¶Gestion des CVE

Nous traitons en continu toutes les CVE (Common Vulnerabilities and Exposures) pertinentes dans notre infrastructure et dans les logiciels que nous exploitons. Si une vulnérabilité a un impact significatif que nous souhaitons porter à l'attention de nos clients, nous en informons dans notre aperçu des opérations, qui peut être consulté dans notre Panneau de configuration.
Le simple fait qu'une CVE ne soit pas mentionnée ne signifie pas que nous ne l'avons pas évaluée ou que nous n'avons pas agi en conséquence ; il est de notre mission de traiter les éventuelles CVE, et c'est ce que nous faisons.