- Objet
BIXOLON s’engage à améliorer continuellement la sécurité de ses produits. Nous accueillons favorablement les signalements de vulnérabilités de sécurité potentielles effectués par des chercheurs en sécurité, des clients et des utilisateurs. La présente politique décrit la procédure à suivre pour signaler une vulnérabilité dans un produit BIXOLON ainsi que la manière dont BIXOLON traite et divulgue les vulnérabilités signalées.
- Champ d’application
La présente politique s’applique aux éléments suivants :
- Imprimantes de reçus, imprimantes mobiles, imprimantes d’étiquettes et produits matériels associés fabriqués et commercialisés par BIXOLON.
- Micrologiciels (firmwares) des produits susmentionnés.
- Pilotes, utilitaires, SDK et applications mobiles distribués par BIXOLON.
- Sites web et services en ligne exploités par BIXOLON.
Les éléments suivants sont exclus du champ d’application :
- Produits et logiciels dont le support a pris fin (la liste des produits en fin de support est publiée séparément).
- Produits et services fabriqués ou exploités par des tiers.
- Attaques nécessitant un accès physique, le vol ou la perte d’un appareil.
- Ingénierie sociale et hameçonnage (phishing) visant les employés de BIXOLON.
- Recommandations de configuration et constats informatifs sans impact démontrable sur la sécurité.
- Comment signaler une vulnérabilité
Veuillez signaler les vulnérabilités à l’adresse suivante :
REMARQUE : En cliquant sur le lien ci-dessus, vous serez redirigé vers le site externe de BIXOLON (www.Bixolon.com).
Les informations suivantes nous aideront à valider rapidement votre signalement :
- Nom du produit concerné et numéro de modèle.
- Version du firmware ou du logiciel.
- Type de vulnérabilité et description détaillée.
- Étapes permettant de reproduire la vulnérabilité, accompagnées, le cas échéant, d’un code de preuve de concept (Proof of Concept) ou de captures d’écran.
- Impact attendu et scénario d’attaque.
- Vos coordonnées et indication de votre souhait d’être cité comme auteur du signalement.
- Date de publication envisagée, si vous prévoyez de publier les informations.
Les signalements sont acceptés en anglais ou en coréen.
- Notre processus et nos délais de réponse
Après réception d’un signalement, BIXOLON :
- Accusera réception dans un délai de 3 jours ouvrés.
- Fournira une première évaluation dans un délai de 10 jours ouvrés, notamment pour déterminer si nous considérons le constat comme une vulnérabilité et pour attribuer une première évaluation de sa gravité.
- Fournira une mise à jour de l’état d’avancement tous les 30 jours pendant le processus de correction.
- Vous informera lorsqu’un correctif ou une mesure d’atténuation aura été publié.
Le délai de correction dépend de la gravité de la vulnérabilité, de l’étendue des produits concernés et des opérations de validation nécessaires. BIXOLON vise à résoudre les vulnérabilités de gravité élevée dans un délai de 90 jours à compter du signalement initial et, lorsqu’un correctif immédiat n’est pas réalisable, à fournir en premier lieu des recommandations concernant les mesures d’atténuation. Ces délais constituent des objectifs et non des garanties.
- Divulgation
- BIXOLON applique un processus de divulgation coordonnée. Nous publions les informations relatives à une vulnérabilité après qu’un correctif ou une mesure d’atténuation a été mis à la disposition des utilisateurs.
- La date de divulgation est convenue avec l’auteur du signalement et, sauf circonstances exceptionnelles, intervient dans un délai de 90 jours à compter du signalement initial.
- Lorsque nous estimons qu’une publication présenterait un risque supplémentaire pour les utilisateurs avant qu’ils ne puissent appliquer un correctif, nous pouvons retarder la divulgation jusqu’à ce que les utilisateurs aient eu la possibilité de le faire. Nous expliquerons les raisons de cette décision à l’auteur du signalement.
- Les avis de sécurité publiés comprennent les produits et versions concernés, une description de la vulnérabilité, son niveau de gravité ainsi que les mesures que les utilisateurs doivent prendre.
- Nous citons les auteurs des signalements dans nos avis de sécurité lorsqu’ils souhaitent être crédités et respectons les demandes d’anonymat.
- Directives destinées aux chercheurs
Lors de l’analyse et du signalement de vulnérabilités, veuillez :
- Effectuer des tests uniquement sur des appareils dont vous êtes propriétaire ou pour lesquels vous disposez d’une autorisation explicite de test.
- Ne pas accéder aux données personnelles d’autrui, ni les stocker, les transférer ou les utiliser. Si vous rencontrez de telles données, cessez immédiatement toute activité et indiquez-le dans votre signalement.
- Ne pas perturber les services, détruire des données ou dégrader les performances des systèmes.
- Limiter vos activités à ce qui est nécessaire pour démontrer la vulnérabilité.
- Ne pas divulguer ni partager les informations relatives à une vulnérabilité avec des tiers avant d’avoir coordonné vos démarches avec BIXOLON.
- Ne pas exiger de paiement ou toute autre contrepartie en échange des informations relatives à la vulnérabilité.
- Clause de protection juridique (Safe Harbour)
Si vous recherchez et signalez une vulnérabilité de bonne foi et conformément à la section 6 de la présente politique, BIXOLON considère votre activité comme autorisée. Nous n’engagerons ni ne soutiendrons aucune action civile ou pénale à votre encontre concernant cette activité.
Si un tiers engage une action en justice contre vous dans le cadre de recherches menées conformément à la présente politique, nous indiquerons que votre activité a été réalisée conformément à cette politique.
La présente section s’applique dans la mesure permise par la législation applicable et ne s’applique pas aux activités qui contreviennent à la section 6.
- Récompenses
BIXOLON ne propose actuellement aucun programme de récompense financière (« bug bounty »). Nous reconnaissons les auteurs des signalements en les citant dans nos avis de sécurité.
- Signalement aux autorités
En vertu du Règlement européen sur la cyberrésilience (EU Cyber Resilience Act) et des autres dispositions légales applicables, BIXOLON est tenu de notifier aux autorités compétentes les vulnérabilités activement exploitées et les incidents de sécurité graves.
Lorsque cette notification est requise, nous l’effectuerons dans les délais prévus par la loi. Nous n’inclurons pas les données personnelles de l’auteur du signalement dans ces notifications sans son consentement.
- Modifications de la présente politique
La présente politique peut être révisée en fonction des évolutions de la législation applicable et de notre expérience opérationnelle. Les révisions seront publiées sur cette page avec leur date de révision.
Dernière révision : 11 septembre 2026
Contact : info@bixolon.de