Bezpieczeństwo
Zgłoś podatność w zabezpieczeniach
Jeśli udało Ci się znaleźć słabość w euphile.eu lub w jednym z produktów platformy, daj nam znać. Czytamy każde zgłoszenie, odpowiadamy każdej zgłaszającej osobie i wymieniamy Cię z nazwiska, gdy problem zostanie naprawiony.
Twoje zgłoszenie
Pola oznaczone * są wymagane. Jeśli możesz, pisz po angielsku. Czytamy też zgłoszenia we wszystkich językach UE.
Zasady
Co możesz testować
- euphile.eu i każda usługa w domenie euphile.eu: aplikacje, konsole administracyjne i interfejsy API.
- Dziesięć produktów platformy, w tym ich aplikacje desktopowe i dodatki, w najnowszej wydanej wersji.
- Każdy inny obsługiwany przez nas system, w którym przechowywane są dane klientów.
Co jest poza zakresem
- Usługi prowadzone przez strony trzecie, z których jedynie korzystamy. Zgłaszaj je ich właścicielom.
- Ataki typu odmowa usługi, testy obciążeniowe i wszelkie testy, które spowalniają lub przerywają działanie usługi dla innych.
- Socjotechnika, phishing i ataki fizyczne na naszych pracowników, klientów lub biura.
- Wyniki automatycznych skanerów bez wykazanego, możliwego do wykorzystania wpływu.
- Brakujące nagłówki bezpieczeństwa, flagi plików cookie lub rekordy uwierzytelniania poczty e-mail, chyba że pokażesz konkretny atak.
- Self-XSS, clickjacking na stronach bez wrażliwych operacji oraz ujawnianie wersji oprogramowania.
- Prompty, które sprawiają, że model AI mówi coś niepożądanego, chyba że przekraczają granicę bezpieczeństwa: dane innego klienta, sekret lub działanie, do którego użytkownik nie ma uprawnień.
Jak testować
- Korzystaj wyłącznie z własnych kont lub z kont, na których użycie właściciel dał Ci pisemną zgodę.
- Jeśli dotrzesz do danych, które nie należą do Ciebie, przerwij. Nie kopiuj ich, nie przechowuj ani nie udostępniaj i napisz o tym w zgłoszeniu.
- Rób tylko to, co niezbędne do wykazania problemu: żadnych zmian ani usunięć, żadnego utrwalania dostępu i żadnego przechodzenia do innych systemów.
- Utrzymuj ruch automatyczny poniżej 5 żądań na sekundę.
- Nie udostępniaj szczegółów nikomu, dopóki nie wydamy poprawki lub do upływu 90 dni od Twojego zgłoszenia, w zależności od tego, co nastąpi wcześniej. Możemy wspólnie ustalić inny termin.
- Nie żądaj zapłaty w zamian za nieujawnianie informacji. To wymuszenie, a nie badania.
Do czego się zobowiązujemy
- Potwierdzamy otrzymanie zgłoszenia w ciągu 2 dni roboczych.
- Przesyłamy pierwszą ocenę, z określoną przez nas wagą, w ciągu 5 dni roboczych.
- Informujemy Cię o postępach co najmniej raz w miesiącu, aż do rozwiązania problemu.
- Informujemy Cię o wydaniu poprawki i uzgadniamy z Tobą termin publikacji biuletynu.
- Za Twoją zgodą wymieniamy Cię z nazwiska w biuletynie i w podziękowaniach.
Bezpieczna przystań (safe harbour)
- Jeśli działasz w dobrej wierze i przestrzegasz tych zasad, uznajemy Twoje badania za autoryzowane. Nie podejmiemy wobec Ciebie kroków prawnych z ich powodu i nie będziemy wspierać nikogo, kto to zrobi.
- Jeśli strona trzecia podejmie działania przeciwko Tobie w związku z badaniami prowadzonymi zgodnie z tymi zasadami, podamy do wiadomości, że Twoje badania były autoryzowane.
- Dotyczy to systemów, które posiadamy i obsługujemy. Nie możemy autoryzować testów systemów należących do kogoś innego.
Nagrody
- Za Twoją zgodą wymieniamy autora każdego prawidłowego zgłoszenia.
- Za oryginalne odkrycie o wysokiej lub krytycznej wadze możemy zaoferować nagrodę pieniężną. O tym, czy ją zaoferujemy, i o jej wysokości decydujemy na podstawie wpływu i jakości zgłoszenia. Nagroda nie jest gwarantowana.
- Gdy kilka osób zgłosi ten sam problem, liczy się pierwsze kompletne zgłoszenie.
- Nie możemy wypłacić nagrody, gdy zabrania tego prawo, ani osobie, która naruszyła te zasady.