Cette version française est fournie à titre de commodité. La version espagnole est celle qui s'applique.
Xeneural apprécie le travail de celles et ceux qui étudient de bonne foi la sécurité de XEN et de xeneural.com. Cette politique explique ce qui entre dans le périmètre, comment signaler, quelle réponse attendre et l'engagement de Xeneural de ne pas engager d'action contre quiconque mène ses recherches conformément à celle-ci.
1. Périmètre
Dans le périmètre :
- xeneural.com et ses sous-domaines publics.
- L'application XEN (web et applications mobiles).
- L'assistant XENI, pour ce qui concerne le contournement des permissions, la fuite de données entre organisations ou l'injection d'instructions produisant des actions non autorisées.
Hors périmètre :
- Les systèmes de tiers que nous utilisons (fournisseurs de cloud, d'identité, de courriel, de modèles d'intelligence artificielle) : signalez-les à leur programme respectif.
- Les attaques par déni de service, l'envoi massif de courriels, l'ingénierie sociale envers notre personnel ou nos clients, et l'accès physique.
- Les constats sans impact de sécurité démontrable : bonnes pratiques sans vecteur d'exploitation, en-têtes informatifs, versions de logiciels sans vulnérabilité connue, résultats de scanners automatiques non confirmés.
2. Règles de la recherche
- N'utilisez que vos propres comptes ou des comptes de test ; n'accédez pas aux données d'autres clients, ne les modifiez pas et ne les téléchargez pas. Si vous accédez par accident à des données d'autrui, arrêtez-vous, ne les conservez pas et signalez-le immédiatement.
- Ne dégradez pas le Service : pas de tests de charge, de force brute massive ni d'automatisation agressive.
- Ne rendez pas la vulnérabilité publique avant qu'elle soit corrigée et que nous ayons convenu de la publication.
- Respectez la loi applicable.
3. Comment signaler
Écrivez à security@xeneural.com avec : la description du constat, les étapes pour le reproduire, l'impact estimé, et votre nom ou pseudonyme si vous souhaitez une reconnaissance. Vous pouvez joindre des captures ou des journaux. Si vous devez chiffrer le message, indiquez-le et nous vous enverrons une clé publique. Les coordonnées figurent aussi sur https://xeneural.com/.well-known/security.txt.
4. Ce que vous pouvez attendre de Xeneural
| Engagement | Délai |
|---|---|
| Accusé de réception | 2 jours ouvrables |
| Évaluation initiale et classification de la gravité | 5 jours ouvrables |
| Correction des vulnérabilités critiques ou élevées | 30 jours à compter de la confirmation, ou plan d'atténuation communiqué |
| Correction des vulnérabilités moyennes ou faibles | 90 jours à compter de la confirmation |
| Information sur l'avancement | Au moins tous les 15 jours tant que le signalement est ouvert |
| Publication coordonnée | Convenue avec le chercheur après la correction |
Nous reconnaissons publiquement, avec votre permission, celles et ceux qui signalent des vulnérabilités valables. Nous n'exploitons pas aujourd'hui de programme de récompenses ; si c'est le cas à l'avenir, cela sera annoncé sur cette page.
5. Sphère de sécurité
Xeneural considère que la recherche menée conformément à cette politique est autorisée, constitue un comportement de bonne foi et ne représente pas un accès illicite. Xeneural n'engagera ni ne soutiendra d'action en justice contre quiconque respecte ces règles, et si un tiers le faisait, nous attesterons que la recherche était autorisée. Si une action précise vous laisse un doute sur sa couverture, demandez-nous avant de la réaliser.
6. Modifications
Cette politique est publiée avec version et date. Les modifications n'affectent pas les signalements déjà présentés.
En vigueur depuis 28 septembre 2026. Les versions antérieures sont conservées et fournies sur demande à legal@xeneural.com.