# Ce que fait Kit Security.

Recevez les rapports, informez les chercheurs et suivez la réponse de l’équipe.

[Fonctionnalités Security et VDP | Kit](https://startupkit.app/fr/security/features)

## Recevoir et évaluer les rapports

Un chercheur soumet un constat. L’équipe dispose des preuves, d’un responsable et de la décision à prendre.

### Signaler une faille sans compte.

Rapports de vulnérabilité

Les chercheurs décrivent le point de terminaison touché et la faille, puis joignent les preuves. L’e-mail est facultatif.
- Recueillez un titre, un type de vulnérabilité, un point de terminaison et une description.
- Ajoutez les étapes de reproduction, le niveau de sévérité déclaré et les fichiers justificatifs.
- Consignez l’acceptation de la politique et fournissez un reçu après l’envoi.

Jusqu’à dix fichiers, chacun de moins de 25 Mo et de moins de 50 Mo au total. Les rapports sans e-mail conservent les métadonnées d’envoi. Une adresse est nécessaire pour les mises à jour par e-mail et l’identité sur le portail.

### Un point de départ pour les chercheurs.

Portail de sécurité à votre image

Réunissez la présentation du programme, le formulaire de rapport et la politique dans un portail de sécurité à votre image.
- Choisissez le logo, les couleurs, l’accroche et la visibilité de la marque.
- Utilisez l’hébergement Kit ou un domaine de sécurité personnalisé et vérifié.
- Suivez la configuration, prévisualisez les brouillons et activez ou suspendez les dépôts.

Un programme Security par compte. Les visiteurs publics ont besoin d’un programme actif. Les domaines personnalisés exigent un accès Security lié à l’abonnement.

### Préciser ce que les chercheurs peuvent tester.

Périmètre et politique de divulgation

Publiez les cibles autorisées, les exclusions et les règles de divulgation à côté du formulaire de rapport.
- Listez les cibles autorisées, les zones exclues et les types de vulnérabilité.
- Copiez le périmètre configuré au format Markdown.
- Publiez la politique de divulgation, un texte facultatif de sphère de sécurité (Safe Harbor) et les consignes de participation.

La sphère de sécurité (Safe Harbor) est un engagement de votre politique. Les vérifications du périmètre utilisent les chaînes de cibles et les types de vulnérabilité configurés. Kit ne découvre pas votre surface d’attaque.

### Repartir avec une référence et un reçu.

Reçus de rapport

Le lien du reçu permet au chercheur de retrouver le texte soumis et l’état actuel du rapport.
- Copiez la référence du rapport et consultez l’heure du dépôt.
- Relisez la description et les étapes de reproduction.
- Consultez les noms des pièces jointes sans liens de téléchargement exposés.

Le lien du reçu donne accès à son détenteur pendant 90 jours. Le reçu exclut les notes internes et reste distinct de la conversation authentifiée.

### Suivre le rapport par un lien reçu par e-mail.

Portail privé du chercheur

Les chercheurs se connectent par e-mail pour consulter leurs rapports, leur évaluation et l’avancement des primes dans les programmes participants.
- Ouvrez un lien magique et confirmez l’identité du chercheur.
- Consultez les preuves, l’état, la sévérité fixée par l’équipe et le score CVSS évalué.
- Créez un nouveau rapport pour un programme public actif.

Un profil de chercheur doit déjà exister. Les liens de connexion expirent après sept jours et les nouveaux remplacent les précédents. Les notes internes, vecteurs CVSS de l’équipe et outils privés restent masqués.

### Garder la réponse avec le constat.

Conversation avec le chercheur

Échangez avec le chercheur au sujet du rapport. Les réponses envoyées par l’équipe arrivent par e-mail et figurent dans le portail privé.
- Suivez les nouveaux messages dans leur ordre d’envoi.
- Demandez des précisions dans la même conversation.
- Suivez les messages non lus séparément pour chaque membre de l’équipe.

Les notes internes et brouillons non envoyés restent privés. La messagerie du portail chercheur se ferme pour les rapports rejetés ou payés.

### Ouvrir les rapports qui demandent une action.

File de réponse

Examinez les rapports ouverts, les réponses attendues et le travail non attribué dans une liste ou un tableau par état.
- Passez des vues de tous les rapports à ceux de l’équipe ou aux vôtres. Retrouvez les actions Security sur l’accueil activé et dans les synthèses quotidiennes.
- Recherchez un identifiant ou un titre. Filtrez par état, niveau de sévérité, responsable et résultat de présélection.
- Triez par SLA ou date de dépôt. Attribuez ou rejetez plusieurs rapports sélectionnés.

Les décomptes respectent les droits d’accès. La recherche par titre porte sur les 500 rapports visibles les plus récents. Les synthèses de l’accueil respectent les préférences et omettent les files courantes vides ou inchangées. Ouvrez les rapports et actions autorisés depuis OmniSearch.

### Comparer la déclaration à l’évaluation.

Niveau de sévérité et CVSS

Construisez un vecteur CVSS de base et consignez le niveau de sévérité retenu, l’évaluateur et le raisonnement de l’équipe.
- Utilisez le calculateur des critères de base CVSS v3.1.
- Comparez le niveau de sévérité déclaré par le chercheur à la décision de l’équipe.
- Consultez la suggestion issue de la fourchette de prime configurée.

Le calculateur actuel utilise les critères de base CVSS v3.1. L’équipe réalise l’évaluation.

### Nommer le responsable de l’action suivante.

Responsabilité du rapport

Attribuez un rapport à un intervenant et conservez l’historique des changements de responsable.
- Choisissez un seul responsable actif pour le rapport.
- Utilisez une affectation par défaut ou la personne d’astreinte.
- Conservez les transmissions consignées entre intervenants.

L’affectation seule ne donne pas accès à un rapport restreint.

### Voir l’échéance dans le rapport.

Objectifs et délais de réponse

Publiez les objectifs d’accusé de réception et de résolution selon le niveau de sévérité, puis affichez le délai dans la file de l’équipe.
- Affichez les objectifs configurés sur la page de politique et dans llms.txt.
- Suivez le compte à rebours et les états dans les délais, à risque et dépassé.
- Classez la file selon l’échéance de réponse.

Le délai court depuis le dépôt à travers les états ouverts. Les objectifs de résolution servent aux seuils d’inactivité et aux bilans rétrospectifs. Ce sont des engagements configurés, sans garantie de personnel disponible pour répondre.

### Consigner le résultat et son motif.

Décisions de triage

Rejetez un rapport avec un motif nommé, classez-le comme informatif ou rouvrez-le par une transition consignée.
- Choisissez un motif de doublon, de périmètre ou de reproduction.
- Conservez la justification privée avec la décision.
- Gardez la transition dans la chronologie du rapport.

L’équipe prend la décision. Informatif est un résultat distinct.

## Faire avancer la réponse

Réunissez les réponses, notes d’équipe, affectations et astreintes autour du rapport.

### Lire les notes et l’historique du rapport.

Notes d’équipe et historique

Discutez du constat en privé et suivez les personnes, décisions et transmissions consignées dans le rapport.
- Rédigez des notes générales, d’évaluation ou de décision. Mentionnez des collègues et épinglez une note.
- Consultez les membres ayant ouvert le rapport et leur dernière consultation.
- Suivez les états, niveaux de sévérité, responsables, messages, analyses rétrospectives, partages et événements d’intégration.

Les notes restent réservées à l’équipe autorisée. Le suivi des consultations peut être désactivé. Une action ou une consultation consignée ne prouve ni correction ni attention.

### Lire la réponse avant son départ.

Brouillons de réponse à relire

Conservez une réponse non envoyée pour que l’équipe la modifie. Demandez une suggestion ou affinez le texte dans l’éditeur.
- Partagez un brouillon ouvert avec les informations d’auteur des modifications et de l’envoi.
- Voyez un avertissement si le chercheur a répondu depuis la rédaction.
- Utilisez le contexte de la conversation pour les suggestions, ou un modèle de repli s’il est indisponible.

Un brouillon ne compte pas comme réponse envoyée. Les réponses de l’agent dans la conversation restent par défaut des brouillons non envoyés. Un administrateur du programme peut activer l’envoi direct. Les changements autorisés de statut ou de prime peuvent continuer à déclencher leurs notifications habituelles. Un agent ne peut pas remplacer discrètement le travail humain.

### Prévisualiser le modèle de réponse.

Modèles de message

Personnalisez les textes et prévisualisez les variables du rapport et du chercheur avant de placer un message dans l’éditeur.
- Préremplissez les accusés de réception, demandes de précisions, validations, rejets et offres de prime.
- Définissez les valeurs du compte et les exceptions propres au programme.
- Prévisualisez le texte résolu avant d’enregistrer ou d’envoyer la réponse.

Onze types de modèle sont administrables, mais cinq intentions alimentent l’éditeur de réponse. Les e-mails automatiques d’accusé de réception, de changement d’état et de connexion utilisent des modèles fixes.

### Écrire aux chercheurs au nom du programme.

Identité d’expéditeur du programme

Accordez les notifications au portail et utilisez votre adresse de sécurité quand la connexion e-mail est prête.
- Appliquez le nom du programme, le logo du compte et les couleurs de la marque.
- Créez une identité security@ avec une intégration e-mail prête.
- Envoyez depuis votre adresse avec l’envoi sous votre identité actif dans Startupkit Email.

Votre adresse d’expéditeur exige l’envoi sous votre identité actif dans Startupkit Email et DKIM. Sinon, les messages partent d’une adresse Kit. Les e-mails entrants ne créent pas de rapports Security et ne mettent pas à jour les conversations.

### Comparer avant de déclarer un doublon.

Rapports associés

Comparez le constat actuel aux rapports associés du même programme.
- Ouvrez les suggestions de quasi-doublons et de rapports associés.
- Utilisez les correspondances de même type lorsque les représentations vectorielles sont indisponibles.
- Suivez les liens directs vers les rapports auxquels vous avez accès.

La similarité invite à comparer. L’équipe décide s’il s’agit d’un doublon. Les rapports restreints restent masqués aux membres non autorisés.

### Lire les raisons du signalement.

Présélection de qualité des rapports

Examinez les preuves soumises avec une recommandation de qualité, son degré de confiance et ses indices précis.
- Consultez les recommandations accepter, examiner ou signaler.
- Examinez les problèmes de qualité indiqués.
- Filtrez la boîte de réception selon le résultat de présélection.

La présélection exige un fournisseur configuré et des crédits. Les recommandations ne rejettent pas les rapports.

### Repérer les instructions visant l’assistant.

Alertes d’injection de prompt

Affichez les techniques d’injection de prompt soupçonnées et leur emplacement dans les rapports et messages rédigés par les chercheurs.
- Lisez le verdict, la technique et le champ ou message concerné.
- Distinguez les rapports de vulnérabilité des relances, prises de contact, demandes d’assistance ou essais.
- Faites apparaître l’alerte dans les lectures MCP et de l’assistant autorisées.

Les vérifications peuvent être indisponibles. Une alerte ne bloque ni le rapport ni une action autorisée. Un résultat sans alerte ne constitue aucune garantie.

### Ouvrir l’historique derrière le rapport.

Historique du chercheur

Examinez les dépôts visibles, primes et événements de karma du chercheur avant de décider ce que nécessite le constat actuel.
- Recherchez les identités de chercheurs et filtrez leur historique de rapports.
- Examinez les niveaux de sévérité, primes et événements de karma avec les liens vers les rapports.
- Consultez un indicateur de faible pertinence propre au programme et ses décomptes après au moins cinq rapports.
- Consignez via l’assistant les ajustements de karma réservés aux administrateurs, avec un motif prédéfini, l’auteur de l’action et des preuves facultatives.

L’indicateur applique une règle de décompte de réputation qui inclut les rapports en attente. Il ne rejette pas, ne bannit pas et ne réduit pas le niveau de sévérité. Le karma global n’établit pas la confiance propre à un programme.

### Orienter le constat vers le bon domaine produit.

Affectation par composant

Gardez les motifs des composants, responsables et destinations Slack dans un catalogue, puis confirmez le domaine suggéré sur le rapport.
- Comparez les motifs de points de terminaison et voyez pourquoi un domaine est suggéré.
- Utilisez le responsable du composant si le rapport n’en a pas.
- Archivez des composants en conservant l’historique des rapports.

Une personne doit confirmer les suggestions. Le catalogue oriente les domaines connus. Il ne découvre pas les actifs et ne remplace pas un intervenant déjà affecté.

### Relancer le rapport resté sans activité.

Relances des responsables

Utilisez des délais d’inactivité selon le niveau de sévérité pour rappeler l’intervenant et faire remonter le travail bloqué à un administrateur.
- Suivez l’activité de l’équipe avec une succession de rappels configurable.
- Reportez de trois ou sept jours dans la limite autorisée par cycle de rappels.
- Indiquez lorsqu’une demande de précisions attend le chercheur.

Les rappels excluent les reports actifs, constats informatifs et attentes du chercheur répondant aux critères. Le report diffère le cycle de rappels sans remettre à zéro le délai du rapport.

### Fixer le moment de revenir au rapport.

Rappels de suivi des rapports

Ajoutez un rappel daté pour vous et les collègues qui peuvent ouvrir le rapport.
- Choisissez une heure locale et des collègues nommés.
- Recevez une notification dans l’application et, uniquement sur choix explicite, par e-mail.
- Terminez, rouvrez ou téléchargez un rappel de calendrier ICS.

Les chercheurs ne sont jamais destinataires. L’accès au rapport est revérifié à l’envoi. Les créateurs modifient le rappel, les participants peuvent le terminer ou le rouvrir. L’export de calendrier est une copie ponctuelle, sans synchronisation continue.

### Transmettre le relais au prochain intervenant.

Rotation d’astreinte

Définissez l’intervenant et la rotation, puis envoyez la synthèse de file à la prise de poste et le bilan de fin d’astreinte.
- Utilisez des périodes manuelles ou des rotations quotidiennes et hebdomadaires.
- Tenez compte des congés et prévenez les administrateurs des périodes non couvertes.
- Incluez le travail ouvert, les échéances proches et l’activité de l’astreinte dans les synthèses Slack ou e-mail.

La rotation native exige au moins deux membres. La synchronisation des plannings PagerDuty nécessite sa connexion configurée.

### Envoyer l’alerte à l’intervenant.

Alertes de réponse et PagerDuty

Prévenez l’équipe d’astreinte des rapports urgents et des délais de réponse dépassés, avec une remontée facultative vers PagerDuty.
- Choisissez les déclencheurs de nouveau rapport, SLA, évaluation critique et remontée.
- Associez les niveaux de sévérité des incidents, configurez les rappels de dépassement et synchronisez la personne d’astreinte.
- Affichez les accusés de réception et résolutions PagerDuty reçus par webhooks signés.

PagerDuty exige la connexion de votre service et un collègue Kit correspondant. Les alertes au contenu réduit protègent les rapports restreints. La résolution d’un incident ne vérifie pas un correctif.

## Suivre le correctif

Transmettez le travail aux développeurs et consignez les preuves et décisions que l’équipe rapporte.

### Garder le ticket technique avec le constat.

Transmission à Jira et Linear

Examinez les données à divulguer avant de créer le ticket Jira ou Linear d’un rapport. Consultez ensuite son état mis en cache dans Kit.
- Choisissez un projet ou une équipe et associez les niveaux de sévérité aux priorités.
- Envoyez les commentaires d’étapes sélectionnés et les détails de vulnérabilité approuvés.
- Consultez l’état mis en cache, la dernière synchronisation, les échecs et les liens rompus.

Les connexions exigent la configuration du fournisseur. Les détails de vulnérabilité nécessitent une permission du programme et un consentement à chaque envoi. Un ticket terminé ne résout pas le rapport et ne prouve pas le déploiement. Rompre le lien conserve le ticket externe.

### Garder la pull request à portée de main.

Liens de correction

Joignez le ticket, la pull request ou le document utilisé par l’équipe pour suivre le correctif.
- Liez le travail GitHub, GitLab, Jira ou Linear.
- Ajoutez des libellés personnalisés et des URL internes.
- Ouvrez les références liées depuis la chronologie du rapport.

Ces références sont réservées à l’équipe. Kit ne récupère pas leur contenu, ne synchronise pas leur état et n’en déduit aucun déploiement.

### Consigner qui a vérifié le correctif.

Décision de vérification du correctif

Un collègue autorisé peut passer un rapport résolu à Correctif vérifié. La décision reste dans son historique.
- Gardez Résolu et Correctif vérifié comme deux états distincts.
- Consignez le membre de l’équipe qui décide et l’heure de sa décision.
- Ajoutez une note de vérification facultative.

Pour cette transition, Kit n’exige ni ne vérifie indépendamment les preuves de déploiement ou un nouveau test par le chercheur.

### Rédiger le bilan dans le rapport.

Analyses rétrospectives

Consignez les actions correctives et enseignements dans le rapport, avec les dates, pièces jointes et versions conservées.
- Consignez la cause racine et les actions correctives.
- Indiquez les dates de détection et de résolution.
- Conservez un historique des versions par ajouts successifs.

Le délai de correction utilise les dates saisies par l’équipe, pas une durée de déploiement observée.

### Rapporter les preuves de votre pipeline GitLab.

Triage du code dans vos systèmes

Envoyez un rapport à votre propre pipeline et recevez des emplacements de code, des affirmations de reproduction et des suggestions de correction à examiner.
- Utilisez votre dépôt, votre modèle et vos prompts avec un jeton limité à l’exécution.
- Suivez le dépôt, le commit, l’avancement du pipeline, les échecs et les dépassements de délai.
- Examinez séparément du verdict le texte de démonstration, les échanges HTTP, les sorties d’outils et la couverture.

GitLab uniquement. Configuration et accès Security requis. Les exécutions expirent après un délai configuré de 1 à 45 minutes. Jusqu’à huit preuves, de 64 Kio chacune et de 256 Kio au total. Les affirmations reçues ne modifient jamais automatiquement l’évaluation.

## Gérer le programme de divulgation

Réglez l’accès, les mentions publiques et les modalités de signalement du point de vue du chercheur.

### Prévenir le chercheur du retard de la file.

Avis de file et demandes de nouvelles

Publiez un avis de file et laissez les chercheurs éligibles demander des nouvelles d’un rapport sans activité.
- Affichez un avis personnalisé et un délai de réponse révisé sur les formulaires, reçus et pages de rapport.
- Envoyez facultativement un avis unique aux rapports non traités répondant aux critères après activation.
- Laissez les chercheurs ajouter une courte demande et consulter la prochaine date possible.

Les avis de file sont désactivés par défaut. Les demandes concernent les rapports ouverts après le dépassement du premier objectif ou 14 jours sans activité, avec sept jours entre deux demandes. Elles ne modifient pas le niveau de sévérité.

### Prévoir une révision de la décision.

Recours des chercheurs

Les chercheurs peuvent déposer un recours écrit et suivre la réponse de l’équipe depuis leur page de rapport.
- Conservez la justification dans le rapport.
- Affichez les résultats en attente, acceptés ou rejetés.
- Appliquez la limite de recours configurée et n’autorisez qu’un recours en attente à la fois.

Les états éligibles sont rejeté, informatif, validé, résolu et correctif vérifié. Les rapports payés sont exclus. Accepter un recours sur un rapport fermé peut le rouvrir. Kit ne fournit aucun arbitrage indépendant.

### Demander avant de publier le nom.

Préférences de mention publique

Laissez les chercheurs gérer leur pseudonyme, leur langue et leur choix de mention, ou répondre à une demande de consentement par e-mail.
- Proposez sur un pied d’égalité la mention nominative, la mention anonyme et l’absence de publication.
- Laissez le chercheur modifier le nom public et conservez sa réponse de consentement.
- Affichez les programmes qui le mentionnent et respectez le refus global pour les entrées liées.

Les liens de demande expirent après 30 jours. Une demande sans réponse peut être renvoyée après sept jours. Une réponse nominative change le pseudonyme global. Le consentement seul ne publie aucune mention. L’e-mail du profil est en lecture seule.

### Reconnaître durablement la contribution.

Hall of Fame

Sélectionnez les mentions des chercheurs par année, avec une page stable pour chaque entrée.
- Mettez en avant des entrées choisies avec le nombre de rapports et des notes de mention.
- Ajoutez un lien externe facultatif à une page de mention.
- Consignez manuellement les contributions antérieures à Kit.
- Examinez les mentions proposées et les demandes en attente de consentement.

Les chercheurs liés doivent choisir explicitement une mention nominative ou anonyme. Les refus masquent les entrées liées et leurs liens permanents. Les textes des entrées manuelles relèvent de l’équipe. Le Hall of Fame peut être désactivé.

### Ouvrir le formulaire par un lien d’invitation.

Dépôts sur invitation

Choisissez les dépôts publics ou une invitation obligatoire au programme, avec un formulaire de demande d’accès pour les chercheurs intéressés.
- Restreignez les formulaires de rapport et de retrait avec l’invitation partagée.
- Examinez la courte demande d’accès du chercheur.
- Envoyez les invitations approuvées par e-mail et renouvelez le jeton du programme.

Le lien limite les dépôts, pas la politique publique ni tous les points d’accès de découverte. Il ne crée pas d’adhésion individuelle. Renouveler le jeton ne révoque pas les sessions de navigateur déjà autorisées.

### Rendre le chemin de signalement visible.

security.txt et politique lisible par machine

Publiez les coordonnées de sécurité et une version Markdown de la politique, du périmètre, des primes et des consignes de dépôt.
- Prévisualisez security.txt et envoyez des alertes d’expiration sur Slack.
- Liez llms.txt avec les champs obligatoires, limites des pièces jointes et consignes de rapport.
- Servez un plan du portail et robots.txt pour les programmes publics actifs.

Les changements du fichier de contact exigent un enregistrement manuel. Les alertes d’expiration utilisent l’horodatage sauvegardé. llms.txt décrit le dépôt personnel par formulaire web. Le plan du site et robots.txt exigent un programme public actif.

### Placer le formulaire sur votre site.

Formulaire intégré

Intégrez le formulaire de rapport et conservez son reçu dans le même contexte.
- Copiez l’extrait du SDK ou l’URL directe de l’iframe.
- Utilisez les mises à jour automatiques de hauteur de l’iframe.
- Choisissez un thème clair ou sombre et configurez les origines autorisées à intégrer le formulaire.

Il s’agit d’un formulaire web intégré. Une liste vide d’origines autorisées est permissive. L’intégration ne fournit aucune API publique de dépôt de rapport.

### Examiner le blocage autant que le rapport.

Prévention des dépôts abusifs

Associez les vérifications de robots et limites de requêtes aux blocages du programme que l’équipe autorisée peut examiner et lever.
- Utilisez un champ piège, Turnstile configuré et des seuils de rafales de requêtes.
- Examinez les e-mails ou IP bloqués, les horaires et les tentatives refusées.
- Signalez les faux positifs probables concernant des chercheurs reconnus et consignez les blocages ou levées manuels.

Ces mesures réduisent les abus sans garantir des dépôts exempts d’abus. Les limites web fixes et celles du programme s’appliquent ensemble. Les erreurs réessayables conservent le texte saisi, mais les fichiers doivent être joints à nouveau. L’attribution sur une IP partagée reste approximative.

## Primes et versements

Fixez une prime, réunissez les informations nécessaires et gardez une trace de la transmission à la finance.

### Publier les conditions d’une prime.

Politique et fourchettes de primes

Décrivez les mentions sans paiement, primes discrétionnaires ou primes par palier, avec des fourchettes par niveau de sévérité dans la devise du programme.
- Fixez les montants minimum et maximum sur six niveaux de sévérité.
- Publiez facultativement la grille et expliquez l’évaluation.
- Activez les bonus discrétionnaires avec un plafond distinct.
- Approuvez directement une prime ou un bonus autorisé, sans proposition de l’équipe.

Les limites de prime définies par la grille dépendent de l’évaluation. Des paliers tous à zéro avec les bonus désactivés permettent une reconnaissance sans paiement. Des paliers vides permettent les primes discrétionnaires. Ces limites ne créent ni budget ni fonds sous séquestre.

### Réunir le montant et les votes de l’équipe.

Propositions de prime

Proposez une prime en interne, recueillez les accords ou contre-montants et laissez l’approbation à un administrateur autorisé.
- Utilisez le vote masqué ou un décompte facultatif en direct, avec commentaires et contre-montants.
- Marquez les votes précédents comme caducs quand le montant change.
- Demandez à un assistant les primes antérieures accessibles, des chiffres de synthèse et des exemples récents.

Les propositions restent privées jusqu’à l’approbation d’une prime. L’approbation ne transfère pas d’argent. Les recherches de primes antérieures incluent tous les types de prime sans filtre de devise. Il s’agit d’un historique interne, pas de références du marché.

### Consigner les changements de montant.

Corrections de prime

Ajustez une prime approuvée ou retirez une prime impayée, avec un motif et une écriture correspondante au grand livre.
- Consignez la différence signée par rapport au montant précédent.
- Expliquez facultativement le changement au chercheur.
- Remplacez une prime retirée sans changer le verdict du rapport.

Les versements terminés ou en cours bloquent les corrections et retraits. Une réduction notifiée exige une note.

### Inviter un chercheur à revenir avec une majoration.

Majorations privées de prime

Offrez à un chercheur un multiplicateur privé et temporaire pour ses futurs rapports répondant aux critères du programme.
- Progressez par paliers de 1,1×, 1,25× et 1,5×.
- Plafonnez le supplément par rapport.
- Ajoutez une notification personnelle ou activez la majoration sans notification.

Les majorations durent de 7 à 90 jours. Les constats validés répondant aux critères, de niveau Moyen ou supérieur, font progresser les paliers. Les conditions sont figées au dépôt, l’éligibilité dépend du niveau de sévérité évalué. Les bonus ne font pas progresser.

### Montrer ce qui manque encore au versement.

Conditions de versement

Configurez les documents, coordonnées de paiement et vérifications nécessaires avant qu’une prime soit prête au versement.
- Choisissez les exigences d’accord, de document fiscal vérifié et de vérification du correctif.
- Choisissez les méthodes autorisées et, si besoin, une recommandation ; les chercheurs renseignent ou modifient leurs coordonnées PayPal ou bancaires.
- Fixez la devise du programme et le versement minimum.

Par défaut, un accord accepté, un document fiscal vérifié et un correctif vérifié sont requis. L’équipe envoie les fonds par son prestataire de paiement. Kit en conserve la trace.

### Conserver les conditions acceptées par le chercheur.

Accords acceptés conservés

Utilisez l’accord de prime par défaut ou un texte personnalisé et conservez le texte exact lors de l’acceptation du chercheur.
- Utilisez l’accord de confidentialité intégré ou le texte de votre programme.
- Recueillez l’acceptation explicite depuis le rapport du chercheur.
- Conservez le texte accepté, l’horodatage et l’IP après les modifications ultérieures.

Seul le type d’accord de confidentialité est mis en œuvre. C’est une condition facultative pour une prime approuvée et payable, pas un accord de confidentialité obligatoire avant l’entrée, une vérification d’identité ou un service de signature numérique.

### Distinguer les primes prêtes des primes bloquées.

File des versements

Voyez quels versements attendent le chercheur, l’équipe ou la finance, et repérez les primes prêtes restées en attente.
- Filtrez les dossiers prêts, bloqués, transmis à la finance, payés et échoués.
- Regroupez les blocages communs par chercheur et consultez les montants en attente et la prime la plus ancienne.
- Rappelez l’équipe tant qu’une prime est prête. Recommencez le cycle de rappels quand les blocages changent.

Les totaux de la file sont des montants consignés, pas des fonds détenus. Les rappels ne transfèrent pas d’argent et s’arrêtent lorsqu’aucune action n’est plus possible sur la prime.

### Demander les informations encore manquantes.

Coordonnées de versement manquantes

Envoyez au chercheur un e-mail ciblé sur les coordonnées de paiement, documents fiscaux et accords de rapport encore attendus.
- Regroupez les blocages actuels qui relèvent du chercheur sur ses primes.
- Liez directement les actions requises sur le portail.
- Consultez l’heure de la dernière relance et respectez le délai avant un nouvel envoi.

L’équipe envoie la relance. Elle exclut les approbations ou vérifications de l’équipe, les primes sous le minimum et les plafonds de prime non résolus. Elle reste distincte des rappels automatiques à l’équipe pour les versements prêts.

### Donner le dossier de versement à la finance.

Transmission à la finance

Transmettez un versement et conservez la confirmation de réussite ou d’échec de la finance.
- Configurez une adresse e-mail pour la finance.
- Partagez les coordonnées de paiement par une page signée ; la finance n’a pas besoin de compte Kit.
- Consignez la référence de transaction et les informations de la personne qui confirme.

La finance organise le transfert hors de Kit. La confirmation est une trace humaine, pas un rapprochement bancaire. Sans adresse de finance, l’équipe consigne le résultat manuellement.

### Réessayer en conservant la tentative échouée.

Reprise des versements échoués

Consignez l’échec, demandez des coordonnées corrigées au besoin et conservez les tentatives de versement précédentes.
- Distinguez les coordonnées invalides, paiements retournés et méthodes non prises en charge.
- Demandez de nouvelles coordonnées au chercheur.
- Remplacez une ancienne tentative en gardant son historique.

Un échec de type Autre reste réservé à l’équipe jusqu’à la demande explicite de coordonnées. Une méthode non prise en charge peut obliger le programme à proposer un autre moyen de paiement.

### Repérer le versement qui mérite un nouvel examen.

Alertes de vérification des versements

Prévenez la personne qui a approuvé la prime lorsqu’une autre personne consigne le versement comme terminé. Alertez les autres administrateurs Security si le montant ou l’historique des approbations nécessite un examen.
- Consultez les détails de l’approbation, des ajustements et de la finalisation dans la notification.
- Signalez les écarts entre la prime et le total approuvé figurant au grand livre.
- Demandez un examen indépendant en cas d’augmentation importante ou d’historique d’approbation impossible à vérifier, lorsque tout a été traité par une seule personne.

La finalisation courante par la personne qui a approuvé la prime ne déclenche pas d’alerte. Les alertes de vérification excluent la personne qui a consigné la finalisation. Ces notifications suivent la finalisation consignée et ne bloquent ni ne transfèrent d’argent. Les e-mails respectent les préférences de notification et le mode congés applicables.

### Garder le formulaire et son évaluateur ensemble.

Revue des documents fiscaux

Les chercheurs téléversent un W-9 ou un W-8BEN pour revue par l’équipe ou la finance autorisée.
- Utilisez un aperçu en images pour examiner le PDF.
- Consignez les motifs de rejet et l’évaluateur.
- Consultez les ouvertures du document, téléchargez les originaux et envoyez des avis de renouvellement planifiés.

L’accès exige une relation de prime accordée et une autorisation d’équipe ou de finance. Les avis de renouvellement utilisent un seuil applicatif de trois ans, sans déterminer une expiration légale. La revue ne dépose pas de déclaration fiscale et ne fournit aucun conseil fiscal.

### Suivre la prime à travers ses corrections.

Grand livre des primes et versements

Conservez les approbations, ajustements, révocations, tentatives de versement et décisions fiscales dans l’historique financier.
- Consignez l’auteur et l’heure de chaque événement.
- Distinguez le montant de l’ajustement de la prime qui en résulte.
- Séparez les versements terminés des approbations.

Les écritures au grand livre consignent les confirmations de paiement. Kit ne transfère pas de fonds et ne rapproche pas les comptes bancaires.

## Accès et preuves

Limitez les dossiers sensibles, examinez les indicateurs de réponse et exportez les preuves.

### Choisir qui peut ouvrir un rapport sensible.

Rapports restreints

Limitez un rapport aux personnes nommément autorisées et aux administrateurs Security. Les responsables autorisés gèrent l’affectation et les droits.
- Accordez l’accès à un rapport précis.
- Laissez les responsables autorisés gérer l’accès et l’affectation.
- Appliquez les limites du rapport aux listes, indicateurs et lectures MCP.

Les administrateurs Security gardent l’accès. L’affectation seule n’en donne aucun. Les partages externes et divulgations aux intégrations ont leurs propres limites.

### Donner au pair une page à durée limitée.

Partage avec un pair externe

Partagez le constat technique avec un ingénieur externe par invitation e-mail ou lien en lecture seule.
- Vérifiez la boîte invitée et recueillez facultativement des commentaires du pair réservés à l’équipe.
- Partagez le contenu technique et les pièces jointes du chercheur par téléchargements autorisés.
- Révoquez l’accès et conservez les consultations, expirations et la chaîne de conservation.

L’accès expire après sept jours. Les liens ouverts à tous donnent un accès en lecture seule à leur détenteur. L’identité du chercheur, les primes et notes internes restent masquées, mais le texte technique et les noms de fichiers sont partagés. La fermeture révoque les partages existants.

### Attribuer le bon rôle Security à chacun.

Rôles de l’équipe Security

Définissez l’accès Security indépendamment des autres activités Kit et attribuez séparément les capacités financières.
- Utilisez les préréglages de responsable de sécurité et d’ingénieur de sécurité.
- Choisissez membre du module, administrateur ou aucun accès.
- Séparez les versements et la fiscalité par les capacités financières.

Les administrateurs du compte conservent un accès global. L’accès invité Hiring n’est pas un rôle Security.

### Chiffrer les champs du dossier.

Chiffrement des données sensibles

Stockez les textes sensibles des rapports, l’identité du chercheur et les coordonnées de versement avec un chiffrement applicatif.
- Chiffrez le titre, le point de terminaison, la description et les étapes de reproduction.
- Chiffrez l’e-mail, le nom et les coordonnées de paiement du chercheur.
- Appliquez des vérifications d’accès propres aux documents fiscaux et pièces jointes.

Il s’agit du chiffrement Rails au repos, pas d’un chiffrement de bout en bout. Aucun calendrier de suppression configurable par rapport n’est fourni.

### Lire l’historique de réponse dans le temps.

Indicateurs Security

Comparez les délais de réponse et de résolution, le respect des SLA, les volumes de rapports et les paiements de primes consignés.
- Choisissez des vues sur sept, 30 ou 90 jours.
- Répartissez les rapports par niveau de sévérité, état et type de vulnérabilité.
- Excluez des agrégats les rapports restreints non autorisés.

Les totaux payés utilisent les versements terminés et séparent les devises. Les indicateurs ne prouvent pas le déploiement des correctifs.

### Emporter un dossier de preuves à examiner.

Exports de preuves

Générez des preuves CSV ou PDF pour une période, avec les synthèses de rapport, la correspondance et les écritures au grand livre.
- Exportez les synthèses de rapports et de SLA.
- Incluez des extraits de communication visibles par les chercheurs.
- Gardez les acteurs financiers, événements et montants dans l’export.

Les exports de tout le programme exigent une autorisation d’administrateur. Les journaux de communication excluent les notes internes et brouillons non envoyés. Les exports facilitent la revue sans certifier la conformité.

### Télécharger le dossier d’un constat.

Dossier PDF d’incident

Générez un PDF du rapport avec le constat, les décisions, la chronologie et l’analyse rétrospective privée.
- Incluez la synthèse, le niveau de sévérité et l’historique des événements.
- Réunissez le bilan rétrospectif, les références du correctif et la validation de l’équipe.
- Listez les noms, tailles et sommes de contrôle des pièces jointes dans un manifeste.

En anglais uniquement et pour l’équipe autorisée. Les pièces jointes sont listées, pas regroupées. Ce dossier contient des éléments privés et diffère de la page partagée avec un pair. L’empreinte de cohérence ne certifie pas l’immutabilité.

## Connexions et outils d’analyse

Connectez les systèmes existants et utilisez des outils ciblés d’investigation et de traitement des documents.

### Envoyer les constats évalués à Vanta.

Synchronisation des preuves Vanta

Synchronisez les rapports évalués et non corrigés vers les ressources Vanta configurées, puis vérifiez la fraîcheur de la connexion.
- Vérifiez les identifiants et ressources lors de la configuration.
- Lancez une synchronisation manuelle ou une actualisation en arrière-plan.
- Consultez les heures de synchronisation et les échecs de connexion.

Vos identifiants Vanta, ressources et accès Security sont requis. Les rapports informatifs évalués conservent le contexte accepté/sans correctif. Les rapports non évalués sont omis. Il s’agit d’une synchronisation de preuves, pas d’une analyse de vulnérabilités.

### Réunir les mises à jour dans un même fil.

Fils Slack des rapports

Envoyez une synthèse actuelle du rapport et les réponses aux événements dans le canal Slack Security configuré.
- Orientez les notifications du rapport vers son fil.
- Utilisez les actions authentifiées de triage, recours et traitement des blocages.
- Interrogez le bot sur un rapport et enregistrez une note interne.

Slack doit être configuré. L’assistance du bot consomme des crédits. Les rapports restreints ne reçoivent aucune carte dans le canal. Restreindre un rapport existant supprime le contenu du bot, sans pouvoir retirer les réponses humaines ni les copies antérieures.

### Laisser l’assistant lire les preuves autorisées.

Security Agent et MCP

Utilisez Security Agent ou un client MCP connecté par OAuth pour examiner les rapports, rédiger des réponses et effectuer des actions autorisées.
- Examinez le périmètre configuré, le contexte CVSS et les rapports antérieurs accessibles.
- Récupérez les fichiers de preuve autorisés et utilisez les modes opératoires de triage, de prime et d’analyse rétrospective.
- Revérifiez le membre agissant, son rôle et les restrictions du rapport à chaque appel.

Les réponses de l’agent dans la conversation restent par défaut des brouillons non envoyés. Un administrateur du programme peut activer l’envoi direct. Les changements autorisés de statut ou de prime peuvent continuer à déclencher leurs notifications habituelles. Les écritures restent soumises au rôle du membre qui agit, à l’accès au rapport et à l’abonnement. Le MCP externe utilise les périmètres OAuth de lecture et d’écriture. L’assistance dans l’application utilise les crédits configurés.

### Envoyer l’événement à votre système.

Webhooks Security

Abonnez-vous aux événements du cycle Security par les webhooks du compte.
- Recevez les événements de dépôt, triage, évaluation, affectation et SLA.
- Suivez l’approbation des primes et les paiements consignés.
- Utilisez une charge utile structurée et limitée du rapport.

Les charges utiles excluent les titres chiffrés, corps de rapport et champs de contact. Les webhooks transmettent les métadonnées d’événement plutôt qu’un export complet du rapport.

### Lire les sources derrière l’IP.

Investigation d’adresses IP

Recherchez les titulaires, le routage, l’exposition et les indices de réputation dans des sources publiques de renseignement.
- Examinez jusqu’à dix adresses ensemble.
- Consultez la source, la fraîcheur et l’état de chaque section.
- Ouvrez l’IP d’un rapport ou collez une adresse dans la recherche universelle.

Les renseignements publics sont mis en cache globalement. Il s’agit d’une consultation, pas d’une analyse active. Les fournisseurs avec clé peuvent rester indisponibles sans configuration. Une localisation approximative n’établit pas le domicile d’une personne.

### Lire pourquoi une adresse a été signalée.

Détection des e-mails jetables

Vérifiez la syntaxe des e-mails, les domaines jetables connus et, facultativement, les empreintes de serveurs de messagerie.
- Collez jusqu’à 25 adresses.
- Examinez le motif de chaque verdict.
- Ignorez le DNS pour vérifier uniquement la liste de blocage.

Un résultat sans alerte ne prouve ni l’existence d’une boîte ni la réception des e-mails. Les résultats sont calculés à la demande sans être conservés. Les limites de requêtes du compte s’appliquent.

### Consultez les fuites associées à une adresse.

Vérification ponctuelle des fuites

Demandez à l’assistant de vérifier des adresses e-mail dans HaveIBeenPwned et d’indiquer si les données exposées comprenaient des mots de passe.
- Vérifiez jusqu’à dix adresses en une seule demande.
- Consultez les sources, les dates des fuites et les types de données exposées.
- Distinguez les résultats inconnus ou les échecs de vérification d’une absence de fuite connue.

Les comptes payants comprennent 25 nouvelles recherches par utilisateur facturé chaque mois. Les résultats sont mis en cache pendant 12 heures ; les résultats en cache et les recherches échouées ne consomment pas le quota. Ces vérifications ne demandent aucune confirmation de la boîte e-mail et ne lancent pas de surveillance quotidienne.

### Soyez averti lorsqu’une adresse de l’équipe apparaît dans une fuite.

Surveillance des fuites de données

Surveillez les fuites de données connues pour les adresses utilisées par votre équipe.
- Les adresses de connexion de l’équipe sont vérifiées chaque jour sur un compte payant.
- Ajoutez jusqu’à trois adresses partagées ou fonctionnelles confirmées par utilisateur facturé.
- Les membres concernés et les administrateurs sont alertés ; pour les adresses supplémentaires, seuls les administrateurs le sont.

Les vérifications quotidiennes utilisent HaveIBeenPwned. Les administrateurs ajoutent les adresses supplémentaires ; chaque titulaire confirme par e-mail. Les alertes concernent les fuites nouvellement détectées, ajoutées à la source au cours des 30 derniers jours. Les alertes par e-mail respectent les préférences de notification.

### Ouvrir une copie du PDF réduite en images.

Assainissement des PDF

Reconstruisez un PDF pris en charge à partir d’images de ses pages avant d’ouvrir la copie générée.
- Utilisez un téléversement autonome ou une pièce jointe de rapport.
- Excluez les scripts, fichiers intégrés, actions et couches de texte de la copie reconstruite.
- Suivez le traitement et la conservation. Supprimez les copies de l’outil autonome après usage.

Les PDF jusqu’à 25 Mo deviennent des copies composées uniquement d’images, conservées sept jours. Les téléversements bruts autonomes sont purgés après traitement. Les preuves empruntées aux rapports, avis de retrait et documents fiscaux restent inchangées.

### Réunir l’avis et l’historique des actions.

Avis de retrait

Recevez les avis d’hameçonnage, de logiciel malveillant ou d’abus par un formulaire distinct et transmettez-les aux destinataires configurés.
- Recueillez URL, domaine, IP, marque, classification, heure de détection et preuves.
- Donnez un reçu au déclarant et prévenez les destinataires configurés par e-mail.
- Laissez les destinataires accuser réception ou consigner une action par lien signé, avec notes de résultat et historique des états.

Facultatif et désactivé par défaut. L’accès sur invitation s’applique. L’organisation et l’e-mail du déclarant sont obligatoires. Les destinataires du lien signé n’ont pas besoin de compte Kit. Une action consignée ne prouve pas le retrait. Kit ne propose pas de service de retrait géré.

## Un lieu pour signaler les failles.

Security est inclus dans Kit. L’équipe évalue les constats et vérifie les correctifs. Les paiements ont lieu hors de Kit. Les services connectés exigent leur propre configuration et peuvent être facturés séparément.

[Voir les tarifs](https://startupkit.app/fr/pricing)