Politique mondiale de divulgation des vulnérabilités

Introduction

COROS s’engage à protéger la sécurité de ses produits, logiciels, services et utilisateurs, ainsi que la vie privée de ces derniers. Cette politique explique comment les chercheurs en sécurité et 'nimporte quel utilisateur peuvent signaler à COROS des vulnérabilités de sécurité potentielles, ainsi que le traitement auquel ils peuvent s’attendre après leur signalement.

Cette politique s’applique dans le monde entier et couvre les vulnérabilités affectant la sécurité ou la protection de la vie privée concernant les appareils de marque COROS, les micrologiciels, COROS App, Training Hub, les sites web, les API, les services cloud et les logiciels associés. Le pays ou la région où se trouve l’auteur du rapport n’a aucune incidence sur son accès à ce canal de signalement ; les dispositions impératives du droit local applicable restent en vigueur.

Merci de lire cette politique dans son intégralité avant de mener des recherches en sécurité ou de soumettre un rapport, et respecter les exigences qu’elle énonce. Les différentes versions linguistiques doivent rester cohérentes ; si le droit local exige une version dans la langue locale ou des informations supplémentaires, COROS fournira la version ou les précisions correspondantes.

COROS remercie les chercheurs en sécurité pour le temps et les efforts qu’ils consacrent au signalement responsable des vulnérabilités.

Champ d’application

Le périmètre de signalement comprend les sites web officiels et les domaines détenus ou contrôlés par COROS, COROS App, Training Hub, les API et les services cloud, ainsi que les montres, compteurs de vélo, capteurs, accessoires connectés, micrologiciels et logiciels associés COROS encore couverts par une période de support de sécurité.

Les produits, sites web ou services de tiers, ainsi que les actifs ne relevant pas de l’autorisation ou du contrôle de COROS, sont exclus du champ d’application de cette politique. COROS ne garantit pas la sécurité, l’exactitude ou la fiabilité des produits, sites web ou services de tiers.

Si tu ne sais pas si un produit, un service, un domaine ou une activité de test relève du périmètre de signalement, merci de nous contacter à product-security@coros.com avant de procéder aux tests.

Signaler une vulnérabilité

Si tu penses qu’un appareil, une application, un site web, une API, un service cloud ou un produit associé COROS présente une vulnérabilité affectant la sécurité ou la protection de la vie privée, merci de soumettre un rapport à product-security@coros.com.

Merci d'inclure les informations suivantes dans ton rapport :

• Le produit, le modèle, la version du logiciel ou du micrologiciel, le site web, l’API ou le service concerné.
• Un titre clair et une description technique de la vulnérabilité.
• Les conséquences en matière de sécurité et les actions qu’un attaquant pourrait effectuer.
• Des étapes détaillées permettant de reproduire la vulnérabilité de bonne foi et sans causer de dommages.
• Une preuve de concept, des journaux, des captures d’écran ou d’autres fichiers justificatifs, le cas échéant.
• Des suggestions réalisables d’atténuation ou de correction, si tu en as.
• Si tu souhaites que nous te contactions ou te remercions, indique ton nom et tes coordonnées ; ces dernières sont facultatives, sauf si tu souhaites recevoir des mises à jour sur l’état du traitement.

Exigences applicables aux recherches en sécurité

Lorsque tu mènes des recherches en sécurité, merci de respecter les exigences suivantes :

• Utilise uniquement les comptes, produits et données qui t'appartiennent ou pour lesquels tu as obtenu une autorisation explicite de test.
• Limite les tests au minimum d’opérations nécessaires pour confirmer la vulnérabilité.
• Évite de porter atteinte à la vie privée, de dégrader la qualité du service ou de perturber les systèmes de production.
• Si tu accèdes à des données personnelles, des informations confidentielles, des identifiants d’accès ou d’autres informations sensibles, cesse immédiatement les tests et informe COROS.
• Supprime dès que cela est raisonnablement possible les informations sensibles obtenues lors des tests et ne les divulgue à aucun tiers.

Les activités suivantes sont interdites :

• Enfreindre toute loi ou réglementation applicable.
• Accéder à des données, les télécharger, les conserver ou les divulguer au-delà de ce qui est nécessaire pour démontrer le problème.
• Modifier ou supprimer des données dans les systèmes ou services COROS.
• Réaliser des tests de déni de service, des analyses automatisées à grande échelle, des envois de messages indésirables, des opérations d’ingénierie sociale ou d’hameçonnage, ou des attaques physiques.
• Mettre en place un accès persistant, exporter des données, utiliser un système comme relais pour attaquer d’autres systèmes, ou perturber les produits ou services COROS.
• Rendre une vulnérabilité publique avant que COROS ait confirmé que sa correction est terminée ou autorisé sa divulgation par écrit.

Traitement des rapports

COROS accusera réception du rapport de vulnérabilité dans un délai de 3 jours ouvrés à compter de sa réception et prévoit d’achever la classification initiale et l’évaluation technique dans un délai de 15 jours ouvrés.

Pour les problèmes de sécurité ou de protection de la vie privée confirmés, COROS se fixe pour objectif de fournir une correction ou des mesures d’atténuation appropriées dans les 90 jours suivant leur confirmation. Si un délai plus long est nécessaire en raison de l’étendue des conséquences, des risques liés à la correction, de dépendances à l’égard de tiers ou d’autres motifs raisonnables, nous informerons l’auteur du rapport de l’avancement du traitement.

Jusqu’à la résolution ou à la clôture du rapport, nous fournirons une mise à jour de l’état du traitement au moins tous les 30 jours. La priorité et le calendrier de correction seront déterminés en fonction des conséquences, de la gravité, de l’exploitabilité, des produits concernés et de la disponibilité de solutions permettant de corriger les problèmes de sécurité.

Nous pouvons demander des informations complémentaires, inviter l’auteur du rapport à vérifier la correction ou envoyer une notification après la correction du problème. Les rapports peuvent également être clôturés s’ils font doublon, sont communiqués à titre informatif uniquement, sont hors périmètre, ne sont pas applicables, ou si le problème signalé ne peut pas être reproduit ; nous en expliquerons la raison lorsque cela est approprié.

Divulgation publique coordonnée

Merci de coordonner toute divulgation publique avec COROS. Une fois le problème corrigé, tu peux demander à rendre ton rapport public. COROS conviendra avec toi d’une date et d’un contenu de divulgation appropriés afin que les utilisateurs concernés disposent d’instructions claires et cohérentes.

Consulter les avis de sécurité publiés sur les vulnérabilités →

Politiques connexes

Pour connaître la durée minimale de support des mises à jour de sécurité de chaque produit et logiciel, consulte la Politique mondiale COROS relative au support des mises à jour de sécurité des produits : Support des mises à jour de sécurité des produits →

Date de première publication : 2024-04-10

Dernière mise à jour : 29 septembre 2026