Sécurité

Signaler une vulnérabilité

Si vous découvrez une vulnérabilité dans un produit ou un service CAPTiX, écrivez à security@captix.eu. Nos coordonnées sont également publiées dans le fichier security.txt (RFC 9116). Nous acceptons les signalements en polonais, en anglais et en français.

Les signalements portent sur les composants que CAPTiX fournit ou exploite : l'application CAPTiX XR pour casques Meta Quest, le backend et l'API de la plateforme, la base de données et l'authentification, ainsi que les bibliothèques tierces utilisées dans ces composants.

Merci d'indiquer dans votre signalement :

• une description de la vulnérabilité et de son impact possible,
• le composant concerné et sa version,
• les étapes permettant de reproduire le problème et, si possible, une preuve de concept,
• vos coordonnées et si vous souhaitez être cité dans les remerciements de cette page.

Nos délais de réponse :

• accusé de réception du signalement : 2 jours ouvrés,
• évaluation initiale et classification : 10 jours ouvrés,
• information sur la correction : dès le déploiement du correctif.

Politique de divulgation coordonnée

CAPTiX pratique la divulgation coordonnée des vulnérabilités : elle n'engage aucune action en justice contre les chercheurs de bonne foi qui n'ont pas accédé aux données des clients, n'ont pas perturbé le service et ont différé toute publication jusqu'à la sortie d'un correctif ou 90 jours après le signalement.

Lors de vos tests, merci de respecter ces limites :

• aucune attaque par déni de service (DoS) ni aucune autre action perturbant la disponibilité du service,
• aucun accès aux données des clients — si vous tombez sur de telles données, arrêtez le test et signalez-le-nous,
• aucune ingénierie sociale visant les employés de CAPTiX.

Délais de correction des vulnérabilités

Les vulnérabilités sont classées selon CVSS v3.1. Le délai court à partir du jour où un correctif est disponible (publication du correctif en amont) ou de la confirmation du signalement lorsque la vulnérabilité concerne le code propre de CAPTiX.

• Critique (CVSS 9,0–10,0) : correction sous 30 jours ; clients informés sans délai, au plus tard 72 h après confirmation.
• Élevé (CVSS 7,0–8,9) : correction sous 90 jours ; clients informés dans le prochain bulletin, au plus tard sous 30 jours.
• Moyen (CVSS 4,0–6,9) : correction sous 180 jours ; clients informés dans le bulletin périodique.
• Faible (CVSS 0,1–3,9) : correction dans la prochaine version planifiée ; information sur demande.

Une vulnérabilité activement exploitée (exploit public ou attaque observée) est traitée comme critique quel que soit son score CVSS et prise en charge en priorité.

Les correctifs du backend et de l'API sont déployés en continu (CD) après la réussite des tests automatisés. Chaque version de l'application cliente est publiée dans un canal de distribution Meta distinct ; l'administrateur de la flotte côté client décide du moment où la version atteint les appareils. Pour un correctif critique, nous informons le client et lui recommandons une date de déploiement.

Comment nous sécurisons la plateforme

Chiffrement en transit : l'application pour casques et le portail CAPTiX se connectent à l'API et à la base de données uniquement via des connexions chiffrées TLS (HTTPS).

Chiffrement au repos (serveurs) : la base de données chez Supabase est chiffrée au repos par le fournisseur.

Contenus enregistrés sur les casques : les enregistrements et les instructions stockés dans la mémoire des casques ne sont pas chiffrés en plus par CAPTiX XR. Le client est responsable de l'accès physique aux casques et des règles de connexion de ceux-ci aux ordinateurs.

Nomenclature logicielle (SBOM) : nous générons une SBOM au format CycloneDX pour chaque version de production. Elle est fournie aux clients sur demande, dans le cadre d'un accord de confidentialité.

Infrastructure et fournisseurs

Les données des clients et des utilisateurs sont stockées exclusivement dans l'Union européenne. Voici les fournisseurs qui traitent des données dans le cadre du service, avec les certifications indépendantes que nous avons vérifiées. État au 27 septembre 2026.

• Scalingo SAS — hébergement de l'application et de l'API (PaaS). Lieu de traitement : Paris, France (région osc-fr1, infrastructure 3DS Outscale). Certifications : NF EN ISO/IEC 27001:2022, certificat n° 38435 délivré par BYCYB, valable jusqu'au 11 septembre 2028 ; HDS 2.0, certificat n° 38436, BYCYB.
• 3DS Outscale — couche d'infrastructure et centre de données physique (sous-traitant de Scalingo). Lieu de traitement : Paris, France. Qualification SecNumCloud 3.2 délivrée par l'ANSSI, ainsi que ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, HDS et SOC 2 Type II.
• Supabase Inc. — base de données et authentification. Lieu de traitement : Union européenne, région eu-central-1 (Francfort, Allemagne). Certifications : SOC 2 Type II et ISO/IEC 27001. Le rapport et le certificat sont fournis aux clients sur demande, dans la mesure permise par le fournisseur.
• Cloudflare, Inc. — protection anti-robots des formulaires de connexion et d'inscription du portail (Cloudflare Turnstile). Traite l'adresse IP et les signaux du navigateur des utilisateurs du portail sur le réseau mondial de Cloudflare, y compris hors de l'Espace économique européen.
• Meta Platforms Technologies Ireland Limited — casques et canal de distribution de l'application. Meta ne traite pas le contenu des instructions CAPTiX.

Les enregistrements et les instructions ne quittent jamais les casques du client : l'application transmet à la plateforme uniquement les données nécessaires à l'activation et à la vérification de sa licence. La liste actuelle des sous-traitants ultérieurs est annexée à l'accord de traitement des données et mise à jour à chaque changement.