Politique de divulgation coordonnée des vulnérabilités

DMS075125

Version 1, 11/09/2026

1. Nous signaler une vulnérabilité

Atral Security, fabricant des produits Daitem, encourage tout chercheur en sécurité, utilisateur ou partenaire à signaler les vulnérabilités affectant nos produits.

Le formulaire web permet également un signalement anonyme. Dans ce cas, nous ne pourrons pas vous envoyer d'accusé de réception ni vous tenir informé de l'avancement.

2. Produits couverts

Cette politique s'applique à l'ensemble des produits comportant des éléments numériques mis sur le marché par Atral Security sous la marque Daitem, notamment :

• Les produits matériels avec firmware : centrales d'alarme intrusion, détecteurs, claviers, sirènes, systèmes de détection et d'alarme incendie, interphonie ;
• Les applications logicielles : Secure (applications d'utilisation), Setup (applications d'installation), Twinload ;
• Les services cloud.

Gammes en support actif :

Les produits en fin de vie, pour lesquels la période de support a expiré, ne bénéficient plus de la présente politique. Atral Security communique les décisions de fin de vie avec un préavis raisonnable.

3. Nos engagements

Lorsque vous nous signalez une vulnérabilité, Atral Security s'engage à :

• Accuser réception de votre signalement dans un délai de 5 jours ouvrés et vous attribuer un identifiant de suivi unique (ATRL-AAAA-NNN) ;
• Évaluer votre signalement, même s'il est incomplet : les informations partielles sont bienvenues ;
• Vous tenir informé de l'avancement au minimum tous les 30 jours, ou immédiatement à chaque changement significatif ;
• Vous informer de la date de publication prévue avant toute divulgation publique ;
• Ne pas divulguer publiquement les informations relatives à la vulnérabilité tant qu'une remédiation n'est pas disponible (voir §4) ;
• Publier un bulletin de sécurité après correction et vous mentionner si vous le souhaitez (voir §5).

Le processus détaillé de traitement en interne est défini dans notre procédure de traitement des vulnérabilités.

4. Période d'embargo et divulgation

Atral Security s'engage à ne pas divulguer publiquement les informations relatives à une vulnérabilité avant qu'une remédiation soit disponible. Cette période de non-divulgation est appelée « période d'embargo ».

En cas de risque immédiat et grave pour les utilisateurs, Atral Security se réserve le droit de publier une information de sécurité partielle avant la disponibilité d'un correctif complet, en indiquant la date de divulgation complète prévue.

5. Bulletin de sécurité et reconnaissance

Atral Security publie un bulletin de sécurité pour chaque vulnérabilité corrigée, sur cette page.

Aucun bulletin de sécurité publié à ce jour.

Chaque bulletin contient :

• La description de la vulnérabilité, et les produits et versions affectés ;
• Le niveau de sévérité (score CVSS) ;
• La remédiation disponible (mise à jour, contournement) et les instructions d'installation ;
• Les dates clés : réception du signalement, disponibilité du correctif, publication.

Reconnaissance des déclarants : avec votre accord, votre nom ou pseudonyme sera mentionné dans le bulletin correspondant. Vous pouvez également choisir de rester anonyme.

6. À propos de cette politique

Cette politique est publiée en application du règlement (UE) 2024/2847 (Cyber Resilience Act). Toute modification substantielle est annoncée sur cette page.

Informations utiles pour votre signalement

Pour nous permettre de traiter votre signalement rapidement, les informations suivantes sont utiles. Signalez même si vous n'avez pas toutes les réponses.