Bezpečnost
Nahlásit bezpečnostní zranitelnost
Pokud jste našli slabinu v euphile.eu nebo v některém z produktů platformy, dejte nám vědět. Čteme každé hlášení, odpovídáme každému, kdo nám ho pošle, a po opravě problému vás uvedeme jménem.
Vaše hlášení
Pole označená * jsou povinná. Pokud můžete, pište anglicky. Hlášení čteme i ve všech jazycích EU.
Pravidla
Co můžete testovat
- euphile.eu a všechny služby pod euphile.eu: aplikace, administrační konzole a API.
- Deset produktů platformy, včetně jejich desktopových aplikací a doplňků, v poslední vydané verzi.
- Jakýkoli jiný námi provozovaný systém, který uchovává data zákazníků.
Co je mimo rozsah
- Služby, které provozují třetí strany a my je pouze používáme. Ty nahlaste jejich vlastníkovi.
- Útoky typu odepření služby, zátěžové testy a jakékoli testy, které zpomalují nebo přerušují službu pro ostatní.
- Sociální inženýrství, phishing a fyzické útoky na naše zaměstnance, zákazníky nebo kanceláře.
- Výsledky automatických skenerů bez prokázaného, zneužitelného dopadu.
- Chybějící bezpečnostní hlavičky, příznaky cookies nebo záznamy pro ověřování e-mailu, pokud neprokážete konkrétní útok.
- Self-XSS, clickjacking na stránkách bez citlivé akce a prozrazení verzí softwaru.
- Prompty, které přimějí model AI říct něco nežádoucího, pokud nepřekročí bezpečnostní hranici: data jiného zákazníka, tajný údaj nebo akci, kterou uživatel nesmí provést.
Jak testovat
- Používejte pouze účty, které vlastníte, nebo účty, k nimž vám vlastník dal písemné svolení.
- Pokud se dostanete k datům, která nejsou vaše, přestaňte. Nekopírujte je, neuchovávejte ani nesdílejte a uveďte to ve svém hlášení.
- Dělejte jen to, co je nutné k prokázání problému: žádné změny ani mazání, žádné udržování přístupu a žádný přesun do jiných systémů.
- Automatizovaný provoz udržujte pod 5 požadavky za sekundu.
- Nesdílejte podrobnosti s nikým, dokud nevydáme opravu, nebo dokud neuplyne 90 dnů od vašeho hlášení, podle toho, co nastane dříve. Můžeme se společně dohodnout na jiném termínu.
- Nežádejte platbu výměnou za nezveřejnění. To je vydírání, ne výzkum.
K čemu se zavazujeme
- Přijetí potvrdíme do 2 pracovních dnů.
- První posouzení s naším hodnocením závažnosti zašleme do 5 pracovních dnů.
- Nejméně jednou měsíčně vás informujeme o postupu, dokud problém nevyřešíme.
- Dáme vám vědět, až bude oprava vydána, a dohodneme se s vámi, kdy bulletin zveřejníme.
- S vaším souhlasem vás uvedeme jménem v bulletinu a v poděkování.
Bezpečný přístav (safe harbour)
- Pokud jednáte v dobré víře a dodržujete tato pravidla, považujeme váš výzkum za autorizovaný. Nepodnikneme proti vám kvůli němu právní kroky a nepodpoříme nikoho, kdo by je podnikl.
- Pokud proti vám třetí strana podnikne kroky kvůli výzkumu, který se řídil těmito pravidly, dáme najevo, že váš výzkum byl autorizovaný.
- To platí pro systémy, které vlastníme a provozujeme. Nemůžeme autorizovat testy systémů, které patří někomu jinému.
Odměny
- S vaším souhlasem uvedeme autora každého platného hlášení.
- Za původní nález vysoké nebo kritické závažnosti můžeme nabídnout finanční odměnu. O tom, zda ji nabídneme, a o její výši rozhodujeme podle dopadu a kvality hlášení. Odměna není zaručena.
- Pokud stejný problém nahlásí více lidí, rozhoduje první úplné hlášení.
- Odměnu nemůžeme vyplatit tam, kde to zakazuje zákon, ani nikomu, kdo tato pravidla porušil.