Сигурност
Съобщете за уязвимост в сигурността
Ако сте открили слабост в euphile.eu или в някой от продуктите на платформата, кажете ни. Четем всеки доклад, отговаряме на всеки, който го е изпратил, и посочваме вашия принос, когато проблемът бъде отстранен.
Вашият доклад
Полетата, отбелязани с *, са задължителни. Пишете на английски, ако можете. Четем доклади и на всички езици на ЕС.
Правилата
Какво можете да тествате
- euphile.eu и всяка услуга под euphile.eu: приложенията, административните конзоли и API.
- Десетте продукта на платформата, включително техните настолни приложения и добавки, в последната им издадена версия.
- Всяка друга система, която управляваме и която съхранява данни на клиенти.
Какво е извън обхвата
- Услуги, които се управляват от трети страни и които ние само използваме. Съобщавайте за тях на собственика им.
- Отказ на услуга, тестове за натоварване и всеки тест, който забавя или прекъсва услугата за другите.
- Социално инженерство, фишинг и физически атаки срещу нашия персонал, нашите клиенти или нашите офиси.
- Резултати от автоматизирани скенери без доказано въздействие, което може да бъде експлоатирано.
- Липсващи заглавки за сигурност, флагове на бисквитките или записи за удостоверяване на имейл, освен ако не покажете конкретна атака.
- Self-XSS, кликджакинг на страници без чувствително действие и разкриване на версии на софтуера.
- Промптове, които карат AI модел да каже нещо нежелано, освен ако не преминават граница на сигурността: данни на друг клиент, тайна или действие, което потребителят няма право да извърши.
Как да тествате
- Използвайте само акаунти, които притежавате, или акаунти, чийто собственик ви е дал писмено разрешение.
- Ако достигнете до данни, които не са ваши, спрете. Не ги копирайте, не ги пазете и не ги споделяйте. Посочете това в доклада си.
- Правете само необходимото, за да докажете проблема: без промени или изтривания, без осигуряване на постоянен достъп и без преминаване към други системи.
- Поддържайте автоматизирания трафик под 5 заявки в секунда.
- Не споделяйте подробностите с никого, докато не пуснем поправка или докато не изминат 90 дни от вашия доклад, в зависимост от това кое настъпи по-рано. Можем да договорим заедно друга дата.
- Не искайте плащане в замяна на неразкриване. Това е изнудване, а не изследване.
Нашите ангажименти
- Потвърждаваме получаването в рамките на 2 работни дни.
- Изпращаме първа оценка, включително определената от нас сериозност, в рамките на 5 работни дни.
- Информираме ви поне веднъж месечно, докато проблемът не бъде решен.
- Уведомяваме ви, когато поправката бъде пусната, и договаряме с вас кога да бъде публикуван бюлетинът.
- С ваше съгласие ви посочваме поименно в бюлетина и в благодарностите.
Правна защита за изследователите
- Ако действате добросъвестно и спазвате тези правила, считаме изследването ви за разрешено. Няма да предприемаме правни действия срещу вас заради него и няма да подкрепяме никого, който го направи.
- Ако трета страна предприеме действия срещу вас заради изследване, проведено според тези правила, ще заявим, че изследването ви е било разрешено.
- Това се отнася за системи, които притежаваме и управляваме. Не можем да разрешим тестове на системи, които принадлежат на някой друг.
Награди
- С ваше съгласие посочваме автора на всеки валиден доклад.
- За оригинална находка с висока или критична сериозност можем да предложим парична награда. Решаваме дали да предложим такава и в какъв размер въз основа на въздействието и качеството на доклада. Наградата не е гарантирана.
- Когато няколко души съобщят за един и същ проблем, се зачита първият пълен доклад.
- Не можем да изплатим награда, когато законът го забранява, нито на лице, което е нарушило тези правила.