Documentation

Divulgation responsable

Comment nous signaler une faille de sécurité dans nos sites Web, notre API ou notre service de données, et ce que nous demandons aux chercheurs.

Projet. La présente politique décrit la façon dont nous prévoyons traiter les signalements de vulnérabilités. L’adresse de signalement, nos engagements de réponse et le libellé de la protection juridique (« safe harbour ») restent à confirmer, et la page sera révisée par les conseillers juridiques avant son entrée en vigueur.

Signaler une faille

Si vous croyez avoir découvert une faille de sécurité dans un site Web, une API ou un service de données de Crown Intelligence, veuillez nous en informer de façon confidentielle afin que nous puissions la corriger avant qu’elle ne soit exploitée.

À fournir : la boîte courriel pour les signalements de sécurité (security@ n’est pas utilisée actuellement) et, au besoin, une clé PGP ou un formulaire de signalement.

Ce que nous vous demandons de faire

  • Nous signaler la faille dès que possible après l’avoir découverte.
  • Fournir suffisamment de détails pour que nous puissions la reproduire : l’adresse ou le point d’accès, les étapes, la requête et la réponse, ainsi que l’incidence prévue.
  • Garder la faille confidentielle jusqu’à ce que nous l’ayons corrigée et que nous ayons convenu avec vous d’une date de divulgation.
  • Utiliser l’accès minimal nécessaire pour démontrer le problème, et vous arrêter dès que celui-ci est démontré.

Ce que nous vous demandons de ne pas faire

  • Exploiter la faille au-delà de ce qui est nécessaire pour la démontrer, ou consulter, modifier ou supprimer des données qui ne vous appartiennent pas.
  • Effectuer des tests qui dégradent le service pour les autres utilisateurs : déni de service, tests de charge ou balayage automatisé à haut volume.
  • Recourir à l’ingénierie sociale, à l’hameçonnage ou à des attaques physiques contre notre personnel, nos locaux ou nos fournisseurs.
  • Tester les services de tiers que nous utilisons, ni les éditeurs officiels dont nous collectons les données.
  • Envoyer des pourriels ou des résultats bruts d’outils de balayage automatisé sans problème précis et démontré.

Ce qui n’est pas une vulnérabilité ici

  • Les données sont publiques : les fiches, les collections et les fichiers en vrac sont publiés intentionnellement, et leur consultation par l’API correspond à l’utilisation prévue.
  • L’API est actuellement ouverte; l’absence de clé d’API est un choix documenté, et non une faille (voir Authentification).
  • Les signalements concernant le contenu d’une liste officielle doivent être adressés à l’éditeur ou à notre processus de correction; voir Corrections et radiation de la liste.
À fournir : les autres exclusions que le responsable souhaite énumérer (par exemple, des en-têtes manquants sans incidence démontrée, ou notre politique sur l’intégration de nos pages dans des cadres).

Ce que nous ferons

À fournir : nos engagements envers les auteurs de signalements : délai d’accusé de réception et d’évaluation, suivi auprès des auteurs, mention éventuelle de leur contribution, et énoncé de protection juridique pour la recherche menée de bonne foi. Ne pas remplir avant la révision par les conseillers juridiques.

Dernière mise à jour : 2026-10-03