Politique de sécurité

Programme de divulgation responsable des vulnérabilités — Lenergy Groupe

Engagement du groupe Lenergy

La sécurité de nos systèmes d'information et la protection des données de nos parties prenantes constituent des priorités absolues du groupe Lenergy. Nous encourageons les chercheurs en sécurité, les professionnels et les utilisateurs à nous signaler tout comportement suspect ou vulnérabilité potentielle découverte sur nos services en ligne.

Cette politique définit les modalités de signalement, le périmètre concerné et nos engagements de traitement dans le cadre du programme de divulgation coordonnée de vulnérabilités (CVD — Coordinated Vulnerability Disclosure).

Périmètre des vulnérabilités couvertes

Les services et systèmes suivants sont couverts par ce programme :

✓ Dans le périmètre

  • lenergy.fr et ses sous-domaines
  • lenergysmart.fr et ses sous-domaines
  • lenergysolar.fr et ses sous-domaines
  • Portails clients et espaces sécurisés
  • API publiques et privées
  • Applications mobiles officielles
  • Systèmes de paiement en ligne

✗ Hors périmètre

  • Services tiers (hébergeurs, CDN, DNS)
  • Systèmes d'information internes non accessibles depuis Internet
  • Attaques par déni de service (DoS/DDoS)
  • Ingénierie sociale ou phishing
  • Attaques physiques sur nos installations

Types de vulnérabilités recherchées

Nous accordons une attention particulière aux catégories suivantes :

Programme de divulgation responsable

Règle d'or

Nous vous demandons de ne pas exploiter la vulnérabilité au-delà de ce qui est strictement nécessaire pour en démontrer l'existence, et de ne pas accéder, modifier ou divulguer les données d'autrui.

Le programme de divulgation responsable de Lenergy repose sur les principes suivants :

  1. Signalement privé : Contactez-nous en premier, avant toute divulgation publique.
  2. Délai de correction : Nous nous engageons à corriger les vulnérabilités critiques en 90 jours suivant le signalement confirmé.
  3. Coordination : Si vous souhaitez publier vos recherches, nous coordonnerons la divulgation publique après correction.
  4. Safe Harbor : Tout chercheur agissant de bonne foi dans le cadre de cette politique ne fera pas l'objet de poursuites judiciaires de notre part.

Comment nous contacter

Pour signaler une vulnérabilité, utilisez de préférence notre formulaire sécurisé. Vous pouvez également nous écrire par courriel en chiffrant votre message avec notre clé PGP publique.

📧

Courriel sécurisé

security chez lenergy.fr
(remplacer "chez" par @)

🔑

Clé PGP

Disponible sur
/.well-known/pgp-key.txt

Que mentionner dans votre rapport ? Décrivez le type de vulnérabilité, les étapes de reproduction, l'impact potentiel, les systèmes concernés, et joignez si possible une preuve de concept (PoC) sans exploitation réelle des données.

Processus de triage

Accusé de réception — sous 48h ouvrées

Nous confirmons la réception de votre signalement et lui attribuons un identifiant de suivi.

Analyse technique — sous 7 jours

Notre équipe sécurité qualifie la vulnérabilité (type, criticité CVSS, impact), reproduit et vérifie le scénario décrit.

Correction — sous 30 à 90 jours

Délai selon la criticité (critique : 30j / haute : 60j / moyenne-basse : 90j). Vous êtes tenu informé de l'avancement.

Clôture & reconnaissance

Après déploiement du correctif, nous vous informons et, avec votre accord, ajoutons votre nom ou pseudo à notre Hall of Fame.

Cadres de référence

Notre politique s'appuie sur les standards reconnus suivants :

Hall of fame — Chercheurs reconnus

🏆

Aucun signalement n'a encore été reçu dans le cadre de ce programme.

Vous pouvez être le premier chercheur reconnu par le groupe Lenergy. Votre nom, pseudo ou organisation sera affiché ici avec votre accord.

Ce programme ne couvre pas

Tout signalement ne respectant pas cette politique pourra faire l'objet de poursuites judiciaires.

Lenergy Groupe — Politique de sécurité v1.0 — Mai 2026
Conformément à la RFC 9116 et aux recommandations de l'ANSSI