Sikkerhed

Rapportér en sikkerhedssårbarhed

Hvis du har fundet en svaghed i euphile.eu eller i et af platformsprodukterne, så fortæl os det. Vi læser hver rapport, vi svarer alle, der rapporterer, og vi krediterer dig, når problemet er løst.

Din rapport

Felter markeret med * skal udfyldes. Skriv på engelsk, hvis du kan. Vi læser også rapporter på alle EU-sprog.

Resumé *

Én linje, for eksempel: Lagret XSS i feltet til projektnavn.

Produkt *

Din vurdering af alvorligheden *

Problemtype *

Berørt adresse eller komponent *

URL'en, værten, API-endpointet, appversionen eller filen, hvor problemet opstår.

Beskrivelse *

Hvad er svagheden, og hvor findes den?

Trin til at genskabe problemet *

Nummererede trin, vi kan følge, med de forespørgsler og svar, der har betydning.

Konsekvens *

Hvad kunne en angriber gøre med den, og mod hvem?

CVSS-vektor (valgfrit)

For eksempel CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Link til et proof of concept (valgfrit)

Et privat link til en video, skærmbilleder eller et script. Medtag ikke andres data.

Forslag til rettelse (valgfrit)

Konti og kilde-IP-adresser, du har testet fra (valgfrit)

Det hjælper os med at skelne dine test fra et angreb i vores logfiler.

Om dig

Navn eller alias (valgfrit)

E-mailadresse *

Vi bruger den kun til at kontakte dig om denne rapport.

Nævn mig ved navn i anerkendelserne, når problemet er løst.

Navn til krediteringen (valgfrit)

Lad feltet stå tomt for at bruge navnet ovenfor.

Jeg har læst reglerne nedenfor og fulgt dem under testen. *

Dette websted gemmer ingen kopi af din rapport. Den går direkte til vores sikkerhedsteam, som kun opbevarer den, så længe det er nødvendigt for at håndtere problemet og kreditere dig.

Reglerne

Version 1, gældende fra 17. oktober 2026.

Hvad du må teste

euphile.eu og alle tjenester under euphile.eu: applikationerne, administrationskonsollerne og API'erne.
De ti platformsprodukter, herunder deres skrivebordsapplikationer og tilføjelsesprogrammer, i den senest udgivne version.
Ethvert andet system, vi driver, som indeholder kundedata.

Hvad der ikke er omfattet

Tjenester, som tredjeparter driver, og som vi kun bruger. Rapportér dem til deres ejer.
Denial of service, belastningstest og enhver test, der gør tjenesten langsommere eller afbryder den for andre.
Social engineering, phishing og fysiske angreb på vores medarbejdere, vores kunder eller vores kontorer.
Resultater fra automatiske scannere uden en påvist, udnyttelig konsekvens.
Manglende sikkerhedsheadere, cookie-flag eller poster til e-mailautentificering, medmindre du viser et konkret angreb.
Self-XSS, clickjacking på sider uden en følsom handling og afsløring af softwareversioner.
Prompts, der får en AI-model til at sige noget uønsket, medmindre de krydser en sikkerhedsgrænse: en anden kundes data, en hemmelighed eller en handling, som brugeren ikke har lov til at udføre.

Sådan tester du

Brug kun konti, du ejer, eller konti, hvis ejer har givet dig skriftlig tilladelse.
Hvis du får adgang til data, der ikke er dine, så stop. Kopiér, gem eller del dem ikke, og skriv det i din rapport.
Gør kun det, der er nødvendigt for at påvise problemet: ingen ændringer eller sletninger, ingen persistens og ingen bevægelse videre til andre systemer.
Hold automatiseret trafik under 5 forespørgsler i sekundet.
Del ikke detaljerne med nogen, før vi har udgivet en rettelse, eller før der er gået 90 dage efter din rapport, alt efter hvad der kommer først. Vi kan aftale en anden dato sammen.
Bed ikke om betaling for at lade være med at offentliggøre. Det er afpresning, ikke forskning.

Hvad vi forpligter os til

Vi bekræfter modtagelsen inden for 2 arbejdsdage.
Vi sender en første vurdering med vores klassificering af alvorligheden inden for 5 arbejdsdage.
Vi holder dig orienteret mindst én gang om måneden, indtil problemet er løst.
Vi giver dig besked, når rettelsen er udgivet, og aftaler med dig, hvornår sikkerhedsbulletinen offentliggøres.
Med dit samtykke krediterer vi dig ved navn i sikkerhedsbulletinen og i anerkendelserne.

Safe harbour

Hvis du handler i god tro og følger disse regler, betragter vi din forskning som autoriseret. Vi vil ikke tage retslige skridt mod dig for den, og vi vil ikke støtte nogen, der gør det.
Hvis en tredjepart tager skridt mod dig for forskning, der fulgte disse regler, vil vi gøre det kendt, at din forskning var autoriseret.
Dette gælder systemer, vi ejer og driver. Vi kan ikke autorisere test af systemer, der tilhører andre.

Belønninger

Enhver gyldig rapport krediteres med dit samtykke.
For et originalt fund med høj eller kritisk alvorlighed kan vi tilbyde en økonomisk belønning. Vi beslutter, om vi tilbyder en, og hvor stor den er, ud fra konsekvensen og rapportens kvalitet. En belønning er ikke garanteret.
Når flere personer rapporterer det samme problem, er det den første fuldstændige rapport, der tæller.
Vi kan ikke udbetale en belønning, hvor loven forbyder det, eller til nogen, der har brudt disse regler.