Sécurité
Comment nous protégeons ce site
Un cabinet de sécurité doit montrer l'exemple. Voici ce que nous faisons, ce que le site collecte, et comment nous signaler une faille.
Un site volontairement simple
Le site est statique : pas de base de données, pas de comptes, pas de système de gestion de contenu à corriger. Il est servi uniquement en HTTPS et ne dépose aucun cookie. Ce que l'on ne déploie pas ne peut pas être attaqué.
Peu de tiers, tous listés
| Service | Rôle | Quand |
|---|---|---|
| GitHub Pages | Hébergement du site | Toutes les pages |
| Cloudflare Web Analytics | Mesure d'audience agrégée, sans cookies | Toutes les pages |
| Formspree | Transmission du formulaire de contact | Uniquement à l'envoi du formulaire |
| Calendly | Prise de rendez-vous | Uniquement si vous cliquez sur « Réserver » |
| Namecheap | Nom de domaine et courriel | Hors du site |
Détails dans notre politique de confidentialité.
Mesures techniques
- Une politique de sécurité du contenu (CSP) restreint les origines des scripts, des connexions et des ressources, et interdit les scripts intégrés aux pages.
- La police de caractères est hébergée sur le site : aucune requête vers un service de polices tiers.
- L'extension de sécurité DNS (DNSSEC) est activée sur le domaine.
- Le site publie un fichier security.txt (RFC 9116) pour que les chercheurs sachent à qui écrire.
- La recherche s'exécute entièrement dans votre navigateur, sur un index statique : vos requêtes ne sont pas transmises.
Signaler une vulnérabilité
Si vous pensez avoir trouvé une faille, écrivez à contact@fzconsultation.xyz en décrivant ce que vous avez observé et comment le reproduire. Nous accusons réception dans les cinq jours ouvrables et vous tenons informé de la correction. Nous considérons la recherche de bonne foi qui respecte les règles ci-dessous comme autorisée et n'engagerons pas de poursuites contre vous.
Règles de la recherche
- Limitez-vous à ce site (fzconsultation.xyz). Les services tiers listés ci-dessus relèvent de leurs propres programmes.
- N'accédez pas aux données d'autrui, ne les modifiez pas et ne les conservez pas. Arrêtez dès que vous avez démontré le problème.
- Pas de déni de service, d'hameçonnage ni d'ingénierie sociale visant notre personnel ou nos clients.
- Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.
Hors périmètre
Les rapports automatisés sans impact démontré, l'absence d'en-têtes HTTP que notre hébergeur ne permet pas de configurer, et les constats sur des services tiers.