Sécurité / Divulgation des vulnérabilités (VDP)

Comment signaler de manière responsable des vulnérabilités de sécurité à Blast Audit.

Dernière mise à jour : 28 octobre 2026

Rapport SOC 2 Type 2 émis par Sensiba

Sensiba a émis un rapport SOC 2 Type 2 sur Blast Audit (le système Software as a Service de NEXT BP), couvrant la sécurité, la disponibilité et la confidentialité pour la période du 1er mars 2026 au 31 mai 2026.

Le rapport couvre le système Software as a Service de NEXT BP. Les clients et prospects qualifiés peuvent demander le rapport complet sous NDA via notre Centre de confiance.

Demander l’accès au Centre de confiance

Certificat ISO 27001:2022 émis

NEXT BP a reçu un certificat ISO 27001:2022 couvrant la conception, le développement, l’exploitation et le support de Blast Audit. Le certificat est disponible via notre Centre de confiance.

Blast Audit (NEXT BP) accueille favorablement la divulgation responsable des vulnérabilités de sécurité.

Signaler une vulnérabilité

Envoyez votre signalement à security [at] blast-audit.com.

Merci d’indiquer :

une description claire ;
les étapes de reproduction ;
la ou les URL et/ou le ou les points de terminaison concernés ;
une évaluation de l’impact ;
une preuve de concept (texte ou lien).

N’y joignez pas les données personnelles ni les données de clients auxquelles vous auriez eu accès : décrivez-les sans les reproduire.

Périmètre

Inclus dans le périmètre :

le site blast-audit.com ;
le tableau de bord web et l’API de Blast Audit ;
le complément Excel Blast Audit.

Exclus du périmètre :

tout actif qui ne figure pas dans la liste ci-dessus, dont la console d’administration interne de NEXT BP ;
les données et les comptes des autres clients ;
les DoS/DDoS, les tests de charge et les tests de stress ;
l’ingénierie sociale (hameçonnage par e-mail ou par téléphone), les attaques physiques, les menaces, le chantage ou l’extorsion ;
les scans automatisés qui perturbent la disponibilité ;
les problèmes présents dans des services tiers que Blast Audit ne contrôle pas.

Sphère de sécurité (« safe harbor »)

Nous soutenons la recherche en sécurité menée de bonne foi. Nous ne porterons pas plainte et n’engagerons pas d’action civile contre vous pour une recherche qui respecte toutes les règles ci-dessous ; nous ne pouvons engager ni les autorités ni des tiers.

n’utiliser que vos propres comptes ou une organisation de test ;
ne tester que les actifs inclus dans le périmètre, sans perturber les services ;
vous arrêter et nous prévenir dès que vous accédez à des données personnelles ou aux données d’un autre client ;
ne pas copier, conserver ni divulguer de données, et supprimer ce que vous avez obtenu ;
ne pas élever vos privilèges au-delà de ce qu’exige la preuve ;
ne rien divulguer publiquement avant la correction, ni sans notre accord ;
ne demander aucun paiement ;
respecter la loi.

Cette sphère de sécurité ne s’applique pas si l’une de ces règles n’est pas respectée.

Objectifs de réponse

À titre indicatif, nous visons les délais suivants :

Accusé de réception : dans les 72 heures
Premier tri : dans les 7 jours

NEXT BP décide seule de la gravité d’un signalement, de la correction et de son calendrier.

Pas de prime

Ce programme est un programme de divulgation des vulnérabilités. Nous n’offrons actuellement aucune récompense financière.

Portée de cette politique

Cette politique peut être modifiée à tout moment. La version en ligne au début d’une recherche continue de la couvrir. Cette politique ne crée ni contrat ni droit à une rémunération.