Responsible disclosure policy

Divulgation coordonnée des vulnérabilités

Valtech Group et ses sociétés prennent au sérieux la sécurité de nos machines, logiciels, services et sites web. Si vous pensez avoir découvert une vulnérabilité de sécurité, nous souhaitons en être informés. Nous accueillons les signalements des chercheurs en sécurité, des clients, des partenaires et de toute autre personne, et nous collaborerons avec vous pour résoudre le problème.

Champ d’application

La présente politique couvre :

Les sites web, portails et services en ligne de Valtech Group et de ses sociétés (répertoriées sur notre groupe), y compris valtechgroup.eu et les domaines propres des sociétés.
Les machines, installations, logiciels de commande, IHM, systèmes de vision et connexions de service à distance que nous fournissons.
Les composants tiers ou open source de nos produits ou systèmes, lorsqu’une vulnérabilité pourrait affecter nos clients ou nos activités.

Hors champ d’application

Ne sont pas couverts par la présente politique :

Les signalements issus de scanners automatisés sans impact démontré et exploitable.
L’absence d’en-têtes de sécurité, d’attributs de cookies ou de paramètres SPF/DKIM/DMARC sans impact démontré.
Le clickjacking sur des pages sans actions sensibles, le self-XSS et l’absence de limitation de débit (rate limiting) sur des fonctions non sensibles.
Les vulnérabilités de services tiers que nous utilisons mais ne gérons pas. Veuillez les signaler au fournisseur concerné.
Les attaques physiques et les tests sur des machines installées chez des clients. Si vous constatez une vulnérabilité sur l’une de nos machines, veuillez nous la signaler sans la tester sur place.

Comment signaler une vulnérabilité

Envoyez votre signalement à security@valtechgroup.eu. Si votre signalement contient des informations sensibles, écrivez-nous d’abord sans les détails ; nous conviendrons alors d’un moyen sécurisé pour les partager.

Veuillez indiquer :

Une description de la vulnérabilité et de son impact possible.
Le site web, l’URL, le système, le produit, le modèle ou la version logicielle concernés.
Les étapes détaillées permettant de la reproduire.
Des éléments justificatifs, tels que des captures d’écran, des journaux (logs) ou une preuve de concept.
La manière de vous joindre, si vous souhaitez un suivi.

Vous pouvez effectuer votre signalement en anglais, en néerlandais ou en français.

Ce que vous pouvez attendre de nous

Accusé de réception : nous confirmons la réception dans un délai raisonnable.
Évaluation : nous vous indiquons dans un délai raisonnable si nous avons confirmé la vulnérabilité et comment nous comptons la traiter.
Suivi : nous vous tenons informé(e) des avancées importantes jusqu’à la résolution du problème.
Confidentialité : nous traitons votre signalement de manière confidentielle. Nous ne communiquons pas vos données personnelles en dehors de notre organisation sans votre autorisation, sauf obligation légale.
Correction : nous corrigeons les vulnérabilités confirmées aussi rapidement que leur gravité l’exige.
Divulgation : nous convenons avec vous du moment et de la manière dont la vulnérabilité sera rendue publique. Nous visons à le faire dans les 90 jours suivant votre signalement.

Règles pour les chercheurs

Nous vous demandons :

D’agir de bonne foi et de ne pas aller au-delà de ce qui est nécessaire pour démontrer la vulnérabilité.
De ne pas consulter, copier, modifier ou supprimer des données qui ne vous appartiennent pas. Si vous tombez sur des données personnelles ou confidentielles, arrêtez-vous, signalez-le et supprimez toute copie.
De ne pas recourir à des attaques par déni de service, au phishing, à l’ingénierie sociale, à des logiciels malveillants ou à des attaques par force brute.
De ne pas perturber nos services, nos systèmes de production ou les installations de nos clients.
De ne pas partager la vulnérabilité avec des tiers avant que nous l’ayons résolue et que nous soyons convenus de sa divulgation, ou avant l’expiration d’un délai de 90 jours suivant votre signalement, sauf accord contraire.

Safe harbour

Si vous signalez une vulnérabilité de bonne foi et respectez la présente politique, Valtech Group et ses sociétés n’engageront pas de poursuites judiciaires à votre encontre et ne demanderont pas aux autorités de le faire. Nous considérons comme autorisées les recherches menées sur nos propres systèmes dans le respect de la présente politique. Veuillez noter que nous ne pouvons prendre cet engagement qu’en notre propre nom, et non pour nos clients ou d’autres tiers.

Si vous n’êtes pas certain(e) que vos recherches envisagées relèvent de la présente politique, veuillez d’abord nous contacter.

Sécurité des produits

En cas de vulnérabilité dans nos machines et logiciels, nous informons les clients concernés et, si nécessaire, les autorités compétentes. Le cas échéant, nous publions également un avis de sécurité (security advisory).

Reconnaissance

Nous ne proposons pas de programme de bug bounty rémunéré. Avec votre accord, nous vous remercierons volontiers publiquement, par exemple dans l’avis de sécurité correspondant.

Contact

Pour toute question concernant la présente politique : security@valtechgroup.eu

Valtech NV, Krommebeekstraat 41, 8930 Menen, Belgique, TVA BE 0466.148.445

Dernière mise à jour : 28 octobre 2026