Divulgation responsable : que faire si vous trouvez une faille ?

aftereliFRANCE – 2026-11-07

Si vous découvrez une vulnérabilité, voici une démarche responsable : 1. Arrêtez-vous dès que la faille est confirmée : n’accédez pas aux données, ne modifiez rien. 2. Documentez ce que vous avez observé (étapes, version, date) sans collecter de données personnelles. 3. Cherchez le contact sécurité de l’organisation : fichier /.well-known/security.txt, page « sécurité » ou programme de bug bounty. 4. Envoyez un rapport clair et poli, laissez un délai raisonnable pour corriger (souvent 90 jours) avant toute publication. 5. En France, le CERT-FR de l’ANSSI peut recevoir un signalement si vous ne parvenez pas à joindre l’organisation. Attention : accéder à un système sans autorisation est puni par la loi (articles 323-1 et suivants du Code pénal), même avec de bonnes intentions. Privilégiez les programmes qui autorisent explicitement les tests.