Signaler une vulnérabilité
Si vous identifiez une faille de sécurité potentielle sur notre site ou nos applications, veuillez écrire à security@exampia.com en précisant les URL ou points de terminaison concernés, les étapes détaillées de reproduction, l'impact potentiel ainsi que toute capture ou preuve technique utile. Veuillez ne jamais inclure de données personnelles d'utilisateurs tiers.
Périmètre couvert (Scope)
Notre programme de divulgation responsable couvre actuellement :
- Le site public Exampia et l'ensemble des pages localisées sous le domaine exampia.com ;
- Le Studio d'Examen Web Exampia ainsi que les points de terminaison API publics opérés par Exampia ;
- Les flux d'authentification, de redirection vers l'application et les ressources statiques de première partie.
Activités hors périmètre (Out of Scope)
Afin de préserver la disponibilité du service et la vie privée des apprenants, il est strictement interdit d'effectuer :
- Des tests par déni de service (DoS/DDoS), tests de charge volumétriques ou scans automatisés agressifs ;
- De l'ingénierie sociale, de l'hameçonnage (phishing) ou des attaques physiques visant l'équipe Exampia ;
- Tout accès, modification, suppression ou exfiltration de données appartenant à d'autres utilisateurs ;
- Des tests ciblant nos prestataires tiers (hébergeurs cloud, prestataires de paiement, boutiques d'applications) ;
- Toute divulgation publique avant qu'Exampia n'ait disposé d'un délai raisonnable pour analyser et corriger le problème.
Garantie Safe Harbor
Si vous agissez de bonne foi, respectez la présente politique, évitez toute atteinte à la vie privée ou interruption de service et nous transmettez vos conclusions de manière confidentielle, Exampia considérera votre recherche comme autorisée et n'engagera aucune poursuite judiciaire à votre encontre.
Processus et délais de réponse
Nous nous efforçons d'accuser réception des signalements valides sous 3 jours ouvrés, de fournir une première évaluation technique sous 10 jours ouvrés et de tenir le chercheur informé jusqu'à la résolution.
Mesures de protection en place
- Déploiement exclusivement en HTTPS/TLS sur l'ensemble du site et de l'infrastructure edge ;
- En-têtes de sécurité HTTP renforcés : Content-Security-Policy (CSP), protection contre le cadrage (X-Frame-Options), Referrer-Policy et Permissions-Policy ;
- Audit automatisé des dépendances et vérifications statiques lors du développement ;
- Scripts tiers réduits au strict minimum et aucun cookie d'analyse ou de publicité par défaut.