Vous avez trouvé un problème de sécurité ? Dites-le-nous. Voici ce qui se passe ensuite.

Ce que couvre cette politique

Cette politique couvre les logiciels que SecureEyes conçoit et les services que SecureEyes exploite. Elle s'applique aux versions actuellement prises en charge : la version actuelle de l'app sur l'App Store, la version du Hub sur le flux de mises à jour, et les services tels qu'ils fonctionnent aujourd'hui. Si vous avez trouvé un problème dans une version plus ancienne, vérifiez-le d'abord sur la version actuelle ; s'il est toujours présent, signalez-le.

• L'app SecureEyes pour iPhone, iPad et Mac, telle que publiée sur l'App Store.
• SecureEyes Hub : le démon sehub, son assistant à privilèges élevés, sa page web d'administration, et l'installateur du Hub sur get.secureeyes.app.
• Le relais sur relay.secureeyes.app et le serveur de licences sur license.secureeyes.app.
• Ce site web, secureeyes.app, et le flux de mises à jour du Hub sur updates.secureeyes.app.

Comment signaler

L'e-mail est le seul canal, et il parvient à une personne, pas à une file d'attente. Ne signalez pas une vulnérabilité dans les avis de l'App Store, sur les réseaux sociaux ou dans un ticket public, où un attaquant la lirait avant nous.

1. 01Écrivez à security@secureeyes.app. Un simple e-mail suffit. Si vous préférez chiffrer, dites-le dans un premier message et nous conviendrons d'une clé avec vous ; nous ne publions pas encore de clé PGP, et le chiffrement n'est jamais obligatoire.
2. 02Indiquez le produit et la version : la version et le build de l'app (Réglages, À propos), la version du Hub (sa page d'administration, ou system/health), ou le service et l'heure à laquelle vous avez vu le problème.
3. 03Décrivez ce que vous avez fait et ce que vous avez vu, étape par étape, pour que nous puissions le reproduire. Une preuve de concept, une requête et sa réponse, ou une capture d'écran nous aident. Masquez tout mot de passe de caméra et toute image filmée avant l'envoi.
4. 04Dites ce qu'un attaquant pourrait en faire selon vous, et si vous avez le moindre signe que la faille est déjà exploitée. Cette seule ligne change la vitesse à laquelle nous agissons.
5. 05Dites-nous comment vous joindre, et si vous souhaitez être cité nommément quand le correctif sera publié.

Il n'y a pas de bug bounty. Nous ne payons pas les signalements, et nous préférons le dire plutôt que de vous laisser croire le contraire. Nous corrigeons bel et bien ce que vous trouvez, nous vous prévenons quand c'est corrigé, et nous vous citons si vous le souhaitez.

Ce que vous pouvez attendre de nous

1. 01Un accusé de réception sous 3 jours ouvrés après votre e-mail, rédigé par une personne, avec une référence que vous pourrez citer.
2. 02Une première évaluation sous 10 jours ouvrés : si nous avons pu reproduire le problème, quelle gravité nous lui attribuons, et ce que nous prévoyons de faire.
3. 03Des nouvelles au fil de l'avancement du correctif, et un message quand il est sorti. S'il nous faut plus de temps que prévu, nous le disons avant que la date soit passée, pas après.
4. 04Une divulgation coordonnée avec vous. Le délai par défaut est de 90 jours à compter de votre signalement. Nous publions plus tôt quand le correctif est sorti et que les utilisateurs ont eu le temps de mettre à jour, et nous pouvons demander plus de temps quand un correctif nécessite un cycle de publication sur l'App Store ou sur le flux du Hub ; nous ne dépasserons pas 90 jours sans vous dire pourquoi.
5. 05Une mention, si vous le souhaitez, dans la note publiée sur le correctif. Si vous préférez ne pas être nommé, nous ne vous nommerons pas.

Les signalements envoyés à cette adresse sont lus et traités par SecureEyes. Nous pouvons partager le contenu technique d'un signalement avec une partie dont le code ou le service est concerné, par exemple un fabricant de caméras, pour obtenir une correction ; nous ne partageons pas votre identité sans vous le demander.

Protection de la recherche de bonne foi

Nous voulons entendre les personnes qui cherchent. Si vous étudiez SecureEyes de bonne foi, que vous suivez les règles de la section suivante et que vous nous signalez ce que vous trouvez, nous n'engagerons aucune action en justice contre vous pour ces recherches, et nous ne les signalerons pas aux forces de l'ordre. Si un tiers, comme un fabricant de caméras ou un hébergeur, engage une action en justice contre vous pour des recherches qui ont suivi ces règles, nous déclarerons publiquement que vos recherches étaient autorisées par cette politique.

La bonne foi signifie que vous avez cherché à éviter tout préjudice, que vous n'avez pris que ce qui était nécessaire pour montrer le problème, que vous avez gardé confidentiel ce que vous avez trouvé jusqu'à la divulgation convenue, et que vous ne l'avez utilisé à aucune autre fin. Cette politique ne donne aucun droit d'enfreindre la loi, et nous ne pouvons pas autoriser l'accès à des systèmes qui ne nous appartiennent pas.

Les règles

Les recherches qui suivent ces règles sont couvertes par la protection ci-dessus. Celles qui ne les suivent pas ne le sont pas.

• Testez uniquement sur des appareils, caméras, Hubs et comptes qui vous appartiennent ou que vous avez l'autorisation explicite d'utiliser, ainsi que sur le site web public. Un test du relais ou du serveur de licences doit utiliser votre propre Hub et votre propre licence.
• N'accédez jamais à la caméra, aux images filmées, aux instantanés, aux événements ou aux identifiants d'une autre personne, et ne les regardez, ne les enregistrez ni ne les conservez jamais. Si une faille vous le permettait, arrêtez-vous dès que vous avez prouvé qu'elle le permettrait, et signalez-la. Ne la démontrez pas sur la caméra de quelqu'un d'autre.
• Pas de déni de service. N'inondez pas le relais, le serveur de licences, le flux de mises à jour ou le site web, et ne testez pas la charge qu'ils supportent.
• Pas d'ingénierie sociale visant SecureEyes, ses hébergeurs ou d'autres utilisateurs. Pas d'hameçonnage, pas d'appels sous un faux prétexte, pas de tentative d'accès physique.
• Dès que vous atteignez des données personnelles qui ne sont pas les vôtres, y compris des images filmées, arrêtez-vous, n'en gardez aucune copie, et signalez-le. Indiquez dans le signalement ce que vous avez vu et que vous l'avez supprimé.
• Ne modifiez, ne supprimez et ne déposez rien sur un système qui ne vous appartient pas. Une preuve de concept lit ; elle n'écrit pas.
• Gardez ce que vous avez trouvé entre vous et nous jusqu'à la date de divulgation convenue. Ne le vendez pas, ne le publiez pas en avance, ne le transmettez pas à un tiers, et ne vous en servez pas pour exiger quoi que ce soit.

Hors du champ d'application

Nous ne pouvons pas corriger les éléments suivants, et un signalement les concernant doit être adressé à la partie qui le peut. Lorsque nous savons de qui il s'agit, nous vous le dirons.

• Le firmware des caméras, ainsi que les apps et les clouds propres aux fabricants de caméras. SecureEyes communique avec les caméras via ONVIF, RTSP et les interfaces HTTP des fabricants ; une faille dans le logiciel propre de la caméra doit être corrigée par le fabricant. Signalez-la-lui ; beaucoup ont leur propre page consacrée à la sécurité.
• L'App Store, StoreKit, iCloud, le trousseau iCloud et les autres systèmes d'Apple. Signalez ces problèmes à Apple.
• Amazon Web Services et les autres hébergeurs et fournisseurs réseau sur lesquels reposent nos serveurs. Signalez ces problèmes au fournisseur concerné.
• Les signalements qui se contentent de citer la sortie d'un scanner, un en-tête de sécurité manquant sur une page statique, ou un numéro de version logicielle sans moyen de l'exploiter.
• Une caméra ou un réseau mal configuré par son propriétaire, comme une caméra avec son mot de passe par défaut, ce dont SecureEyes peut avertir sans pouvoir le changer.

Si vous ne savez pas si un élément entre dans le champ d'application, envoyez-le quand même. Nous préférons lire un signalement qui s'avère concerner quelqu'un d'autre plutôt que d'en manquer un qui nous concerne.

Le règlement européen sur la cyberrésilience

SecureEyes, c'est-à-dire l'app et le Hub, est un produit comportant des éléments numériques vendu dans l'Union européenne, et le règlement sur la cyberrésilience (Cyber Resilience Act, règlement (UE) 2024/2847) s'y applique. Ce qui suit décrit ce que nous faisons au titre de ce règlement et ne constitue pas un conseil juridique.

Lorsque nous avons connaissance d'une vulnérabilité de SecureEyes activement exploitée, ou d'un incident grave ayant un impact sur la sécurité de SecureEyes, nous le notifions via la plateforme unique de signalement de l'ENISA, aux autorités désignées par le règlement, selon le calendrier du règlement : une alerte précoce dans les 24 heures après en avoir eu connaissance, une notification dans les 72 heures avec ce que l'on sait alors de la vulnérabilité et des mesures prises, et un rapport final dans les 14 jours suivant la mise à disposition d'une mesure corrective ou d'atténuation (dans un délai d'un mois après la notification pour un incident grave).

Nous informons les utilisateurs concernés sans retard injustifié : sur ce site web, dans les notes de version de l'app sur l'App Store, et dans les notes de version du Hub sur la page de téléchargement, en précisant quel était le problème, quelles versions sont concernées et ce qu'il faut faire. SecureEyes n'a aucun compte utilisateur ni aucune liste d'adresses e-mail, il n'y a donc aucun message que nous puissions vous envoyer directement ; c'est sur cette page et dans les notes de version que l'information est publiée.

Période de support

Des correctifs de sécurité sont fournis pour l'app SecureEyes et le SecureEyes Hub pendant cinq ans à compter de la date de chaque version. Un correctif est livré sous forme de nouvelle version : une mise à jour de l'app sur l'App Store, et une mise à jour du Hub sur le flux signé, que le Hub et l'app proposent dès sa publication. Pendant la période de support, pour recevoir les correctifs de sécurité, il faut garder l'app et le Hub à jour ; une version antérieure à la version actuelle n'est pas corrigée en tant que telle.

Le relais, le serveur de licences et ce site web sont des services plutôt que des logiciels livrés, et ils sont maintenus aussi longtemps qu'ils fonctionnent.

Modifications de cette politique

Cette politique est datée du 22 octobre 2026. Toute modification de ce que nous promettons, de l'adresse ou du champ d'application apparaîtra ici avec une nouvelle date. Le fichier de contact lisible par machine à l'adresse secureeyes.app/.well-known/security.txt désigne cette page comme sa politique et porte sa propre date d'expiration, que nous renouvelons chaque année.

Contact

Les signalements de sécurité sont à envoyer à security@secureeyes.app. Pour toute autre question sur SecureEyes, écrivez à support@secureeyes.app.