VIARIS

Divulgation responsable

Signaler une vulnérabilité à Viaris / RAENBI GROUP BV : canal, empreinte PGP, périmètre, calendrier coordonné et cadre belge de divulgation coordonnée.

Dernière révision
11 octobre 2026

En bref

  • Signalez une vulnérabilité en un seul e-mail structuré à security@autovig.eu avec « security report » dans l’objet ; le périmètre couvre viaris.eu, ses fichiers générés et le parcours de consentement aux cookies.
  • Utilisez l’empreinte PGP et la clé publique publiées ; Autovig et Viaris partagent un même canal CVD du responsable.
  • La recherche de bonne foi dans le périmètre est autorisée par le responsable ; l’exemption légale de l’article 23 de la loi belge NIS2 exige en outre de notifier le CCB (CERT.be) dans les 24 et 72 heures.

RAENBI GROUP BV (marques Viaris et Autovig) accueille favorablement la recherche en sécurité menée de bonne foi sur ses propriétés publiques. La présente politique est la politique de divulgation coordonnée de vulnérabilités (CVD) du responsable. Elle s’applique à viaris.eu et est alignée sur le canal CVD d’Autovig du même responsable.

1. Canal de signalement

Si vous ne parvenez pas à nous joindre, ou si vous ne recevez pas d’accusé de réception dans les délais ci-dessous, vous pouvez transmettre le signalement au :

Les signalements sont acceptés en anglais, français, allemand, néerlandais, roumain ou polonais.

2. Périmètre

Dans le périmètre :

  • viaris.eu et tout sous-domaine diffusant du contenu de production ;
  • les fichiers générés du site statique : HTML, CSS, bundles JS et données structurées que nous publions ;
  • le parcours de consentement aux cookies et le stockage du consentement sur l’appareil.

Hors périmètre :

  • les sites des opérateurs tiers — signalez-leur directement ;
  • les problèmes qui supposent un navigateur compromis, une extension malveillante ou un accès physique à l’appareil ;
  • les résultats de scanners automatiques sans impact de sécurité clair et démontrable ;
  • les signalements de bonnes pratiques manquantes sans risque exploitable démontré.

3. Contenu du signalement

Un signalement utile comprend : une description claire, la ou les URL concernées, les étapes de reproduction, une évaluation de l’impact et, le cas échéant, une preuve de concept limitée au strict nécessaire pour démontrer le problème.

4. Nos engagements

  • Accusé de réception sous 5 jours ouvrables.
  • Évaluation de la gravité sous 10 jours ouvrables.
  • Correction ou atténuation visée sous 90 jours dans le cadre d’une divulgation coordonnée, sauf complexité nécessitant un délai plus long que nous vous communiquons.
  • Il n’existe pas de programme de bug bounty rémunéré ; nous pouvons vous citer publiquement si vous le souhaitez.

5. Protection et cadre légal belge

La recherche de bonne foi qui reste dans le périmètre de la présente politique et évite toute atteinte à la vie privée, toute perturbation du service et toute exfiltration de données au-delà du nécessaire pour démontrer le problème est considérée comme autorisée par nous, en qualité de responsable des actifs visés. Cette autorisation n’engage ni les autorités publiques ni les tiers.

Par ailleurs, l’article 23 de la Loi du 26 avril 2024 (la loi belge NIS2) exonère les personnes qui signalent une vulnérabilité potentielle selon la procédure de son article 22 de certaines infractions, dont l’accès non autorisé à un système informatique, si elles remplissent toutes ses conditions — notamment une notification simplifiée à nous et au CCB dans les 24 heures de la découverte, une notification complète dans les 72 heures, des actes uniquement proportionnés et aucune divulgation publique sans l’accord du CCB. La page CVD du CCB fait référence : https://ccb.belgium.be/fr/reglementation/cvdp.

6. Confidentialité des signalements

Les données de signalement sont traitées au titre de l’article 6, §1, f), du RGPD pour la divulgation coordonnée. Détails dans la politique de confidentialité. Les signalements clôturés sont conservés jusqu’à 5 ans.

Sources

Pages juridiques associées