Sécurité

Dernière mise à jour le 2026-10-01 · comment signaler une vulnérabilité dans Nexus Studio ou nos services

Si vous constatez un problème de sécurité dans Nexus Studio, ce site web ou le portail de compte, veuillez nous le signaler. Cette page vous indique comment procéder, ce qui entre dans le périmètre et ce à quoi nous nous engageons en retour. Elle ne concerne que nos logiciels et nos systèmes : elle n'autorise pas à tester ceux d'autrui. La manière dont le produit gère vos données est détaillée dans Security and privacy. Pour vérifier qu'un programme d'installation est bien celui que nous avons publié, consultez Verify a download.

Comment faire un signalement

Envoyez un e-mail à security@nexusstudioqa.com en précisant :

la nature du problème et ce qu'un attaquant pourrait en tirer ;
la version de Nexus Studio ou l'adresse concernée ;
le minimum d'étapes permettant de le reproduire ;
votre nom ou votre pseudonyme, si vous souhaitez être crédité.

Nous n'avons pas encore publié de clé de chiffrement. Si un signalement est trop sensible pour un simple e-mail, écrivez-nous d'abord et nous conviendrons d'un canal sécurisé. Notre fichier security.txt contient le même contact.

Périmètre inclus

Nexus Studio : le Studio, son moteur, son outil en ligne de commande et le programme d'installation, dans une version que vous avez obtenue légalement.
Ce site web, le portail du compte sous /app et le service de licence sous /v1, sur notre propre domaine.

Périmètre exclu

Les systèmes et installations de nos clients. Signalez-leur directement tout problème. Nous n'avons aucun accès à leurs machines et ne pouvons pas intervenir.
Nos prestataires, tels que Cloudflare, Stripe, Resend, Google et GitHub. Signalez-le-leur directement ; informez-nous également si cela a un impact sur nous.
Le déni de service, les tests de charge ou le spam contre nos services, ainsi que l'ingénierie sociale ou l'accès physique contre nous.
Tout ce qui a été atteint en testant un système que vous n'étiez pas autorisé à tester.

Ce que nous vous demandons

Accordez-nous un délai raisonnable pour corriger le problème avant de le divulguer. Nous demandons 90 jours, et nous vous informerons si nous avons besoin de plus de temps et pour quelle raison.
Utilisez uniquement les accès nécessaires pour démontrer le problème, puis arrêtez-vous là. Utilisez des comptes que vous avez créés vous-même ; jamais le compte, les données ou la carte d'une autre personne.
N'accédez pas à des données qui ne vous appartiennent pas, et ne les modifiez, supprimez ou copiez pas. Une capture d'écran d'un enregistrement auquel vous avez accès constitue une preuve ; une copie de la base de données ne l'est pas.
Ne dégradez pas nos services pour les autres utilisateurs.

Nos engagements

Accuser réception de votre signalement sous 5 jours ouvrés.
L'évaluer et vous indiquer si nous le considérons comme une vulnérabilité, ainsi que la manière dont nous prévoyons de le traiter, sous 15 jours ouvrés.
Vous tenir informé pendant que nous le corrigeons, et vous avertir lorsque le correctif est disponible.
Vous créditer dans les notes de version, si vous le souhaitez et que le signalement était valide.

Il n'y a pas de prime rémunérée aujourd'hui. Un signalement qui exige un paiement, ou menace d'une divulgation pour obtenir quelque chose, ne relève pas de la recherche, et l'engagement de bonne foi ne s'y applique pas.

Zone de protection (« Safe harbor »)

Si vous vous efforcez de bonne foi de respecter cette politique, nous considérons que vos recherches sont autorisées, et :

nous n'engagerons ni ne soutiendrons aucune action en justice contre vous à ce titre, qu'elle soit civile ou pénale, y compris en vertu du Computer Fraud and Abuse Act, des lois étatiques sur la cybercriminalité, du Computer Misuse Act britannique ou de lois similaires ailleurs ;
nous renonçons à toute poursuite au titre de l'article 1201 du DMCA, ou de lois similaires relatives au contournement, pour avoir contourné la vérification de licence ou d'autres mesures techniques dans Nexus Studio afin de l'analyser, et nous renonçons aux restrictions stipulées dans nos Conditions, notre Politique d'utilisation acceptable et le fichier LICENSE qui interdiraient autrement ces recherches, comme l'ingénierie inverse ou le contournement de la vérification de licence. Ces deux renonciations ne s'appliquent qu'à une copie obtenue légalement, uniquement pour des recherches relevant de la présente politique, et seulement tant que vous ne publiez, ne partagez ni ne vendez aucun outil, correctif, clé ou méthode déjouant la vérification de licence, et n'utilisez pas une copie contournée à d'autres fins que ces recherches. Elles ne couvrent pas le trafic d'outils de contournement ;
si un tiers engage une action contre vous concernant des recherches relevant de cette politique, nous ferons savoir que vous avez agi dans ce cadre.

Cette autorisation ne couvre que nos systèmes inclus dans le périmètre ci-dessus. Nous ne pouvons pas autoriser de tests sur nos prestataires ou sur nos clients. Si vous avez un doute quant à l'inclusion d'un élément dans le périmètre, demandez-le-nous d'abord à security@nexusstudioqa.com.

Comment les correctifs parviennent aux installations

Nexus Studio s'exécute sur les machines de nos clients, nous ne pouvons donc pas corriger une installation nous-mêmes. Nous publions une version, et le Studio l'annonce lors de sa prochaine vérification de licence ; son installation relève de la responsabilité du client. Nous pouvons vous dire quand un correctif a été publié, mais jamais que chaque installation en dispose. Les correctifs apportés au site web, au portail et au service de licences s'appliquent dès que nous les déployons.

Avis de sécurité et notifications

Si nous apprenons qu'une vulnérabilité dans Nexus Studio fait l'objet d'une exploitation active, ou si nous avons connaissance d'un incident affectant sa sécurité, nous le signalons aux autorités requises par la loi, y compris via la plateforme de notification unique de l'UE en vertu du règlement sur la cyberrésilience (Cyber Resilience Act). Nous envoyons un e-mail à chaque titulaire de compte dont l'installation est affectée, en précisant la nature du problème et la conduite à adopter, et nous publions un avis sur cette page dès qu'un correctif ou une mesure d'atténuation est disponible.