Sécurité

Signaler une faille

Vous avez trouvé un problème de sécurité dans Cyclop OS, Cyclop Connect ou ce site ? Merci. Voici comment nous le dire, et ce qui se passe ensuite.

Comment signaler

Écrivez à support@cyclop-tech.com avec un objet qui commence par « [security] ». Une personne lit chaque message. Indiquez si possible :

ce qui est touché (paquet et version, application ou adresse) ;
comment reproduire le problème, étape par étape ;
ce qu’un attaquant pourrait en faire, autant que vous puissiez le dire.

Comment Cyclop OS vous protège

Les paquets sont signés. Nos dépôts sont signés avec la clé de Cyclop OS, et votre machine refuse un paquet qui ne correspond pas.
Un pare-feu est actif dès l'installation, connexions entrantes refusées par défaut (Community à partir de la mise à jour 4.0.2).
Les mises à jour de sécurité d'Ubuntu sont appliquées automatiquement (Community à partir de la mise à jour 4.0.2).
Le durcissement du noyau, un résolveur DNS privé et une liste de blocage de traqueurs sont inclus (Community à partir de la mise à jour 4.0.2).
USBGuard, qui bloque les périphériques USB inconnus, est disponible sur les éditions payantes. Il est installé éteint, et une commande l'allume.
Nous ne revendiquons aucune certification : cette liste est ce que le système fait réellement, rien de plus.

Ce à quoi nous nous engageons

Nous accusons réception de votre signalement sous 2 jours ouvrés.
Nous vous tenons au courant pendant l’analyse et la correction.
Nous vous citons dans les notes du correctif si vous le souhaitez. Nous n’avons pas de prime aux bogues, et nous préférons le dire franchement.
Nous n’engageons aucune action en justice contre une recherche de bonne foi qui respecte les règles ci-dessous.

Ce que nous vous demandons

Ne consultez, ne modifiez et ne conservez aucune donnée au-delà de ce qu’il faut pour prouver le problème.
Pas de déni de service, pas de spam, pas d’ingénierie sociale sur notre équipe ou nos utilisateurs.
Laissez-nous un délai raisonnable avant toute publication : 90 jours par défaut, et nous vous dirons s’il nous faut moins ou plus.

Périmètre

Cette politique couvre :

les paquets Cyclop OS servis par packages.cyclop-tech.com ;
cyclop-tech.com et ses sous-domaines ;
les applications Cyclop Connect (bureau et mobile).

Hors périmètre

Les failles des paquets Ubuntu ou Debian non modifiés se signalent à la source : écrivez directement à Ubuntu ou à Debian. Nous suivons les avis de sécurité d’Ubuntu et livrons leurs correctifs dans Cyclop OS.

Combien de temps Cyclop OS est maintenu

Cyclop OS 4.x reçoit ses mises à jour de sécurité jusqu’à la fin du support standard d’Ubuntu 24.04 (avril 2029).