Sécurité

Comment signaler une vulnérabilité, ce que nous examinons et comment nous protégeons vos données. Mis à jour le 3 novembre 2026.

Signaler une vulnérabilité

Écrivez à support@bazinet.net avec SECURITY dans l’objet. Décrivez ce que vous avez fait, ce qui s’est produit, ce à quoi vous vous attendiez et la gravité que vous estimez. Un rapport sommaire aujourd’hui vaut mieux qu’un rapport soigné le mois prochain.

Ne publiez pas les détails d’une vulnérabilité avant qu’elle soit corrigée. Le fichier security.txt donne les mêmes coordonnées dans un format lisible par les outils.

À quoi vous attendre

Accusé de réception : 3 jours ouvrables.
Première évaluation : 10 jours ouvrables.
Faille critique : corrigée le plus vite possible, avec des nouvelles en cours de route.
Divulgation publique : coordonnée avec vous, 90 jours par défaut.

Ce que nous examinons

Bazinet.net et son API, Bazinet Vault (application Web, application de bureau et extension de navigateur), Horaire CVM (Web, bureau et téléphone), Bazinet Aim Trainer et le centre d’aide. Nous voulons surtout savoir si quelque chose permet de :

faire parvenir à nos serveurs un mot de passe maître, une clé ou le contenu déchiffré d’un coffre-fort;
lire ou modifier les données d’un autre utilisateur;
contourner la connexion, la double authentification ou une clé d’accès;
faire exécuter à une application Bazinet du code qu’elle n’a pas livré.

Ce que nous n’acceptons pas

Les résultats d’outils d’analyse automatisés sans effet démontré, par exemple les réglages DMARC, SPF, DKIM ou MTA-STS, les versions ou suites TLS, ou un en-tête de sécurité absent d’une page sans action sensible.
Les tests de déni de service ou de limites de requêtes, et le pollupostage.
L’hameçonnage ou l’ingénierie sociale visant notre équipe, et les attaques physiques.
Les services de tiers (Cloudflare, Stripe, Omnivox) : signalez-les à leurs responsables.
Les rapports qui exigent un paiement avant de donner les détails.

Récompenses

Nous n’offrons pas de programme de primes payées pour l’instant. Un rapport valide qui a un effet réel peut être remercié ou récompensé à notre seule discrétion, comme le prévoit l’article 10 des Conditions d’utilisation. Les rapports envoyés en masse depuis des outils automatisés ne donnent droit à aucune récompense et ne reçoivent pas de réponse.

Recherche de bonne foi

Si vous respectez cette politique de bonne foi, nous n’intenterons aucune poursuite et ne prendrons aucune mesure contre votre compte en raison de votre recherche. Est autorisé :

tester vos propres comptes et les données de votre propre coffre-fort;
analyser l’extension, les applications publiées et le code du site;
une analyse automatisée à un rythme qui ne ralentit pas le service pour les autres.

N’est pas autorisé : accéder aux données d’un autre utilisateur (arrêtez-vous et signalez-le; une preuve avec votre propre second compte suffit), le déni de service, le pollupostage, l’ingénierie sociale, ni retenir une découverte pour obtenir quelque chose. En cas de doute, demandez d’abord.

Résultats de tests publics

Ce ne sont pas des certifications : ce sont des tests indépendants et publics que tout le monde peut relancer. Résultats du 3 novembre 2026.

Mozilla Observatory : A+ (135/100, 12 tests réussis sur 12).
Qualys SSL Labs : A, TLS 1.3 seulement.
Internet.nl, test du site : 100 % (IPv6, DNSSEC, HTTPS, RPKI).
Internet.nl, test des courriels : 97 % (DMARC en rejet, DKIM, SPF, DNSSEC).
Liste HSTS préchargée : inscription en attente; les navigateurs n’ouvriront alors bazinet.net qu’en HTTPS.

Comment nous protégeons vos données

Votre coffre-fort est chiffré sur votre appareil (Argon2id, puis AES-256-GCM). Nous ne voyons jamais votre mot de passe maître ni le contenu de votre coffre-fort.
Chaque compte a une double authentification par courriel, et peut ajouter une application d’authentification ou une clé d’accès.
Votre journal de sécurité, dans les paramètres du compte, montre chaque connexion et chaque changement important.
Nos courriels viennent seulement de noreply@bazinet.net ou de support@bazinet.net. Nous ne vous demanderons jamais votre mot de passe maître.
L’état de nos services est publié sur status.bazinet.net.

Bazinet n’a pas nécessairement fait l’objet d’un audit de sécurité indépendant (Politique de confidentialité, article 11). Pour des secrets de très grande valeur, préférez un gestionnaire audité.

Security

How to report a vulnerability, what we look at, and how we protect your data. Updated November 3, 2026.

Report a vulnerability

Email support@bazinet.net with SECURITY in the subject. Say what you did, what happened, what you expected and how severe you think it is. A rough report today beats a polished one next month.

Please don’t publish the details of a vulnerability before it is fixed. Our security.txt gives the same contact in a format tools can read.

What to expect

Acknowledgement: 3 business days.
First assessment: 10 business days.
A critical issue: fixed as fast as possible, with updates along the way.
Public disclosure: coordinated with you, 90 days by default.

What we look at

Bazinet.net and its API, Bazinet Vault (web app, desktop app and browser extension), Horaire CVM (web, desktop and phone), Bazinet Aim Trainer and the help centre. We most want to hear about anything that:

gets a master password, a key or decrypted vault contents to our servers;
reads or changes another user’s data;
gets around sign-in, two-step verification or a passkey;
makes a Bazinet app run code it didn’t ship with.

What we don’t accept

Automated scanner results with no demonstrated impact, such as DMARC, SPF, DKIM or MTA-STS settings, TLS versions or ciphers, or a security header missing from a page with no sensitive action.
Denial-of-service or rate-limit testing, and spam.
Phishing or social engineering of our team, and physical attacks.
Third-party services (Cloudflare, Stripe, Omnivox): report those to them.
Reports that demand payment before giving the details.

Rewards

We don’t run a paid bug bounty at the moment. A valid report with real impact may be thanked or rewarded at our sole discretion, as section 10 of the Terms of Service says. Bulk reports from automated tools are not eligible for a reward and don’t get a reply.

Good-faith research

If you follow this policy in good faith, we won’t take legal action or act against your account because of your research. This is allowed:

testing your own accounts and your own vault data;
examining the extension, the published apps and the site’s code;
automated scanning at a rate that doesn’t slow the service down for others.

This is not allowed: accessing another user’s data (stop and report it; a proof with your own second account is enough), denial of service, spam, social engineering, or holding a finding back to get something for it. If you’re not sure, ask first.

Public test results

These are not certifications: they are independent, public tests that anyone can run again. Results from November 3, 2026.

Mozilla Observatory: A+ (135/100, 12 of 12 tests passed).
Qualys SSL Labs: A, TLS 1.3 only.
Internet.nl website test: 100% (IPv6, DNSSEC, HTTPS, RPKI).
Internet.nl email test: 97% (DMARC set to reject, DKIM, SPF, DNSSEC).
HSTS preload list: listing pending; browsers will then only open bazinet.net over HTTPS.

How we protect your data

Your vault is encrypted on your device (Argon2id, then AES-256-GCM). We never see your master password or what is in your vault.
Every account has two-step verification by email, and can add an authenticator app or a passkey.
Your security log, in account settings, shows every sign-in and every important change.
Our emails come only from noreply@bazinet.net or support@bazinet.net. We will never ask for your master password.
The state of our services is published at status.bazinet.net.

Bazinet has not necessarily had an independent security audit (Privacy Policy, section 11). For very high-value secrets, prefer an audited password manager.