# Sedona.AI - politique de divulgation et contact d'abus
# RFC 9116

Contact: mailto:vincent.coderch@sedona-ai.com
Contact: https://sedona-ai.com/contact
Expires: 2027-09-01T00:00:00.000Z
Preferred-Languages: fr, en
Canonical: https://sedona-ai.com/.well-known/security.txt
Policy: https://sedona-ai.com/legal/divulgation

# ---------------------------------------------------------------------
# Signaler une vulnerabilite
#
# Ecrivez a vincent.coderch@sedona-ai.com. C'est la seule adresse
# e-mail de Sedona.AI, celle de nos mentions legales.
# Nous accusons reception sous 24 heures ouvrees. Nous n'exploitons
# aucun programme de prime (bug bounty) remuneree.
# Perimetre et regles : https://sedona-ai.com/legal/divulgation
# ---------------------------------------------------------------------

# ---------------------------------------------------------------------
# Trafic de scan sortant - ce que nous exigeons REELLEMENT
# (etat du produit au 2 septembre 2026)
#
# Sedona.AI edite Sedona Radar, une plateforme d'analyse de surface
# d'attaque externe. Notre infrastructure emet donc du trafic de test
# vers des systemes tiers.
#
# Avant chaque scan, le demandeur - identifie par un compte
# authentifie et nominatif - doit valider une attestation d'autorisation
# portant sur la cible saisie. Sans cette attestation, la creation du
# scan est refusee cote serveur, pas seulement cote navigateur : la
# procedure de base de donnees qui cree le scan leve une erreur
# 'consent_required', et le role applicatif du navigateur ne dispose
# pas du droit d'inserer directement dans la table des scans.
# Les scans recurrents font exception a la demande repetee : ils sont
# emis par notre planificateur sur la base de l'attestation donnee au
# moment de la programmation.
#
# Ce que nous enregistrons et conservons, attache au scan :
#   - l'identifiant du compte demandeur ;
#   - l'horodatage serveur de l'attestation ;
#   - l'adresse IP depuis laquelle elle a ete emise ;
#   - la cible exacte sur laquelle elle porte.
#
# Ce que nous ne faisons PAS, et qu'il serait faux de laisser croire :
#   - nous ne verifions pas techniquement que le demandeur controle le
#     domaine vise. Il n'existe aujourd'hui ni challenge DNS, ni fichier
#     temoin, ni verification aupres du contact RDAP ;
#   - nous ne collectons pas de mandat ecrit signe par le titulaire du
#     domaine, ni de piece justifiant la qualite du signataire.
#
# L'attestation est donc une declaration sur l'honneur, opposable a son
# auteur, et non une preuve de propriete verifiee. Le cahier des charges
# de la verification de propriete de domaine que nous prevoyons de
# deployer est publie, dans le detail, a l'adresse
# https://sedona-ai.com/legal/divulgation
#
# Une version anterieure de ce fichier affirmait que chaque cible faisait
# l'objet d'un "mandat ecrit signe par le titulaire du domaine". C'etait
# inexact. La formulation ci-dessus decrit le controle reellement en
# place.
#
# Vous observez du trafic provenant de notre infrastructure :
# ecrivez a vincent.coderch@sedona-ai.com en indiquant le domaine ou
# l'adresse IP vises et une fenetre horaire.
# Nous accusons reception sous 24 heures ouvrees, nous identifions le
# compte a l'origine du trafic et nous vous confirmons l'existence, la
# date et la cible de l'attestation correspondante. Sur demande du
# titulaire des systemes vises, nous arretons le scan en cours et nous
# desactivons toute planification recurrente pointant vers ces systemes.
# Ces operations sont aujourd'hui manuelles. Nous n'exploitons aucune
# liste d'exclusion alimentee par vos demandes : rien, dans notre
# infrastructure, ne transforme un signalement d'abus en refus permanent.
# Le seul refus permanent qui existe est une liste d'entites protegees
# (domaines gouvernementaux et souverains, sante publique, banques, OIV)
# embarquee dans le code de notre orchestrateur : elle est evaluee avant
# la resolution DNS et avant tout lancement, et son echec meme technique
# refuse le scan. Y ajouter une cible suppose une modification du code et
# un deploiement de notre part : ce n'est ni instantane, ni en
# libre-service, et nous ne le presenterons pas comme tel.
# L'identite du demandeur est communiquee au titulaire sur demande
# motivee, ou sur requisition d'une autorite competente.
# ---------------------------------------------------------------------