BEZPIECZEŃSTWO

Polityka bezpieczeństwa i ujawniania podatności

Zawodowo włamujemy się do systemów, więc spodziewamy się, że ktoś przyjrzy się uważnie także naszym. Jeśli znajdą Państwo podatność w naszych systemach, oto jak nam o niej powiedzieć i co obiecujemy w zamian.

Wersją wiążącą jest wersja angielska tej polityki; niniejsze tłumaczenie udostępniamy wyłącznie dla wygody czytelnika.

Zgłaszanie podatności

Prosimy o wiadomość na [email protected] z opisem wystarczającym do odtworzenia problemu: dotknięty zasób, kroki oraz zaobserwowany skutek. Pomocny jest krótki proof of concept. Nasz kontakt w formacie maszynowym publikujemy pod adresem /.well-known/security.txt.

Nasze zobowiązania wobec Państwa

Potwierdzimy odbiór zgłoszenia w ciągu trzech dni roboczych.
Będziemy informować Państwa na bieżąco o postępach analizy i prac nad poprawką.
Nie będziemy podejmować ani wspierać kroków prawnych przeciwko Państwu za badania prowadzone w dobrej wierze zgodnie z tą polityką.
Za Państwa zgodą chętnie wskażemy Państwa jako odkrywcę po usunięciu podatności.

Zakres

Ta polityka obejmuje zasoby, których jesteśmy właścicielem i którymi zarządzamy, przede wszystkim offensive.technology i jej subdomeny. Systemy klientów z naszych zleceń nigdy nie są tu objęte zakresem; podlegają własnym zgodom i zasadom prowadzenia testów, i nie wolno ich testować.

Zasady badań w dobrej wierze

Aby pozostać pod ochroną tej polityki, prosimy:

Pozostać w powyższym zakresie i zatrzymać się natychmiast po potwierdzeniu podatności.
Nie uzyskiwać dostępu do cudzych danych, nie zmieniać ich ani nie usuwać. Prosimy korzystać z kont testowych i minimalnego dowodu.
Nie pogarszać działania naszej usługi. Żadnego denial of service, żadnego automatycznego skanowania o dużym natężeniu, które zakłóca dostępność.
Nie stosować socjotechniki wobec naszych ludzi ani osób trzecich i nie atakować obiektów fizycznych.
Dać nam rozsądną szansę na naprawę przed publicznym ujawnieniem i uzgodnić z nami termin.

BEZ BOUNTY, ZA TO SZCZERZE Nie prowadzimy dziś płatnego programu bug bounty. Nie będziemy udawać inaczej, żeby przyciągnąć zgłoszenia. Oferujemy szybką, uczciwą odpowiedź, realną poprawkę i wskazanie autorstwa, jeśli Państwo sobie tego życzą. Jeśli to się zmieni, ta strona o tym poinformuje.

Bezpieczna przystań

Badania bezpieczeństwa prowadzone w dobrej wierze i zgodnie z tą polityką uznajemy za dozwolone. Nie potraktujemy ich jako naruszenia naszych warunków i będziemy współpracować z Państwem, a nie działać przeciwko Państwu. Jeśli osoba trzecia podejmie kroki prawne w związku z badaniami zgodnymi z tą polityką, jasno potwierdzimy udzieloną przez nas zgodę.