Sécurité & divulgation responsable

Comment nous vous protégeons

• Connexions chiffrées : toutes les pages et l'espace client utilisent HTTPS, et les navigateurs reçoivent l'instruction de toujours se connecter de façon sécurisée.
• Mots de passe : nous ne stockons jamais les mots de passe sous une forme lisible. Ils sont protégés par un hachage à sens unique robuste.
• Accès de l'équipe : notre équipe se connecte via une adresse privée avec une vérification en deux étapes, et chaque personne ne voit que les parties du système nécessaires à son rôle.
• Paiements : les paiements par carte et PayPal sont traités par PayPal. Nous ne voyons ni ne stockons jamais votre numéro de carte complet.
• Surveillance : nous surveillons les erreurs et les attaques 24 h/24, bloquons automatiquement le trafic abusif et tenons un journal d'activité des actions importantes sur les comptes.
• Vos fichiers : les fichiers que vous partagez avec nous restent privés et ne sont accessibles qu'à vous et à notre équipe après connexion.

Signaler une vulnérabilité

Si vous pensez avoir trouvé une vulnérabilité de sécurité sur zeyweb.com ou dans notre espace client, veuillez écrire à security@zeyweb.com. Nous confirmerons la réception de votre signalement sous 3 jours ouvrés et vous tiendrons informé jusqu'à sa résolution.

Nos coordonnées pour les chercheurs en sécurité sont également publiées sur /.well-known/security.txt.

Ce qu'il faut inclure

• La page ou la fonctionnalité concernée et le type de problème.
• Des étapes claires pour le reproduire, avec des captures d'écran ou une courte vidéo si possible.
• L'impact que vous estimez qu'il peut avoir.
• Comment vous joindre pour d'éventuelles questions.

Protection juridique (safe harbor)

Nous n'engagerons aucune action en justice contre vous pour des recherches menées de bonne foi dans le cadre de cette politique. Veuillez :

• Utiliser uniquement vos propres comptes ou des comptes de test, et ne jamais consulter, modifier ou supprimer les données d'autres personnes.
• Vous arrêter et nous signaler le problème dès que vous le trouvez, sans l'exploiter davantage.
• Éviter tout ce qui pourrait perturber notre service, comme des analyses automatisées intensives.
• Nous laisser un délai raisonnable pour corriger le problème avant d'en divulguer publiquement les détails.

Nous n'avons pas de programme de bug bounty rémunéré, mais nous serons heureux de vous remercier publiquement une fois un problème valide corrigé, si vous le souhaitez.

Hors périmètre

• Les attaques par déni de service, le spam et l'ingénierie sociale visant notre équipe ou nos clients.
• Les attaques physiques et tout ce qui concerne nos bureaux ou nos centres de données.
• Les sites et services exploités par d'autres entreprises, comme PayPal, Google ou Mailgun. Merci de les leur signaler directement.
• Les résultats de scanners automatisés sans impact de sécurité démontré.