Sécurité / Divulgation responsable

Chercheur en sécurité

La recherche en sécurité au sein d'Ethan Consulting est menée par :

• Nom : Henrique Vidal
• Rôle : Chercheur en sécurité, Ethan Consulting
• Profil Patchstack : Voir le profil Patchstack
• LinkedIn : linkedin.com/in/vidalhenrique
• Advisory publié : CVE-2026-45436 (WPBakery Page Builder, contournement de contrôle d'accès)

Cette page constitue le lien officiel entre le pseudonyme de chercheur utilisé sur les plateformes de divulgation et l'identité réelle ci-dessus.

Signaler une vulnérabilité

Signaler n'est pas tester. Signaler une anomalie constatée lors d'un usage normal du service, sans chercher à en sonder la sécurité, ne requiert aucune autorisation et est bienvenu à tout moment à security@ethancg.com.

Pour que nous puissions traiter votre signalement efficacement, indiquez si possible :

• une description claire de la vulnérabilité (type, classe OWASP le cas échéant) ;
• l'URL, l'endpoint ou le composant concerné ;
• les étapes de reproduction (preuve de concept, commandes, captures) ;
• l'impact estimé (lecture/écriture, données accessibles, prérequis d'authentification) ;
• vos coordonnées (nom ou pseudonyme à créditer, le cas échéant).

Règles d'engagement : autorisation préalable requise

Toute activité de test visant les systèmes d'Ethan Consulting, automatisée ou manuelle, requiert une autorisation écrite préalable. Cela couvre notamment les tests d'authentification, de contrôle d'accès et de limites de débit, l'usage de scanners, de proxys d'interception ou d'outils de fuzzing, ainsi que la création de tout compte destiné aux tests.

Les nouvelles autorisations sont restreintes. Elles ne sont étudiées que pour des chercheurs justifiant d'un historique établi et vérifiable, par exemple : des vulnérabilités créditées à leur nom (CVE, advisories éditeurs), un classement public sur une plateforme de divulgation reconnue, des recherches publiées, ou une mission pour le compte d'une société de sécurité identifiée.

Pour demander une autorisation, écrivez à security@ethancg.com en précisant :

• votre identité et vos coordonnées ;
• les preuves de votre historique (liens vers des vulnérabilités créditées, profil de plateforme, publications, employeur) ;
• le périmètre visé (domaines, endpoints, fonctionnalités) ;
• les méthodes et outils envisagés ;
• la fenêtre de test souhaitée et les adresses IP source utilisées.

L'autorisation est accordée par écrit ; elle est personnelle, limitée dans le temps, restreinte au périmètre convenu et révocable à tout moment. Ethan Consulting ne consent à aucun test de sécurité de ses systèmes réalisé sans cette autorisation écrite préalable. Aucune prime (bug bounty) n'est versée.

Nos engagements

• Accusé de réception sous 72 heures ouvrées.
• Évaluation et triage, puis information du chercheur sur l'avancement de la correction.
• Crédit public sur demande, après déploiement du correctif (crédit anonyme possible).
• Aucune poursuite judiciaire contre les chercheurs qui respectent la présente politique.

Périmètre

Les catégories ci-dessous définissent ce que nous acceptons comme signalement et ce qu'une autorisation peut couvrir. Elles ne constituent pas une invitation à tester.

Dans le périmètre : contournements d'authentification, de session ou de contrôle d'accès ; injections ; XSS avec exécution démontrée ; CSRF sur des actions sensibles ; SSRF, LFI/RFI ; IDOR donnant accès aux données d'un autre utilisateur ; exposition de secrets ou d'identifiants ; élévation de privilèges ; contournement d'un flux de paiement ou de quotas.

Hors périmètre : en-têtes HTTP manquants sans exploit démontré ; self-XSS et clickjacking sans action sensible ; énumération d'utilisateurs par conception ; déni de service (DoS, DDoS), à ne pas tenter ; résultats de scans automatisés sans validation manuelle ; contournements uniquement côté client sans effet serveur ; abus d'envoi d'e-mails, SMS ou notifications ; doublons déjà identifiés en interne ou signalés par un tiers.