Securitate
Raportează o vulnerabilitate de securitate
Dacă ai găsit un punct slab în euphile.eu sau într-unul dintre produsele platformei, spune-ne. Citim fiecare raport, răspundem tuturor celor care ne scriu și îți recunoaștem contribuția când problema e remediată.
Raportul tău
Câmpurile marcate cu * sunt obligatorii. Dacă poți, scrie în engleză. Citim însă rapoarte în toate limbile UE.
Regulile
Ce poți testa
- euphile.eu și toate serviciile de sub euphile.eu: aplicațiile, consolele de administrare și API-urile.
- Cele zece produse ale platformei, inclusiv aplicațiile lor desktop și extensiile, în cea mai recentă versiune lansată.
- Orice alt sistem pe care îl operăm și care conține date ale clienților.
Ce nu intră în aria de acoperire
- Serviciile operate de terți, pe care noi doar le folosim. Raportează problemele din acestea direct proprietarului lor.
- Atacurile de tip denial of service, testele de încărcare și orice test care încetinește sau întrerupe serviciul pentru alții.
- Ingineria socială, phishingul și atacurile fizice asupra personalului, clienților sau birourilor noastre.
- Rezultatele scanerelor automate fără un impact demonstrat și exploatabil.
- Lipsa unor antete de securitate, a unor atribute ale cookie-urilor sau a unor înregistrări de autentificare a e-mailului, dacă nu demonstrezi un atac concret.
- Self-XSS, clickjacking pe pagini fără acțiuni sensibile și dezvăluirea versiunilor de software.
- Prompturile care fac un model AI să spună ceva nedorit, dacă nu trec de o limită de securitate: datele altui client, un secret sau o acțiune pe care utilizatorul nu are dreptul să o facă.
Cum testezi
- Folosește doar conturi care îți aparțin sau conturi al căror proprietar ți-a dat permisiunea în scris.
- Dacă ajungi la date care nu sunt ale tale, oprește-te. Nu le copia, nu le păstra, nu le distribui și menționează asta în raport.
- Fă doar ce e necesar ca să demonstrezi problema: fără modificări sau ștergeri, fără persistență și fără să treci în alte sisteme.
- Menține traficul automat sub 5 cereri pe secundă.
- Nu dezvălui detaliile nimănui până când lansăm o remediere sau până când trec 90 de zile de la raportul tău, oricare dintre ele vine prima. Putem stabili împreună o altă dată.
- Nu cere bani în schimbul tăcerii. Asta e șantaj, nu cercetare.
La ce ne angajăm
- Confirmăm primirea în cel mult 2 zile lucrătoare.
- Îți trimitem o primă evaluare, cu nivelul de severitate stabilit de noi, în cel mult 5 zile lucrătoare.
- Te ținem la curent cel puțin o dată pe lună, până la rezolvarea problemei.
- Te anunțăm când lansăm remedierea și stabilim împreună cu tine data publicării buletinului.
- Cu acordul tău, te menționăm cu numele în buletin și în lista de mulțumiri.
Protecție juridică
- Dacă acționezi cu bună-credință și respecți aceste reguli, considerăm cercetarea ta autorizată. Nu te vom acționa în justiție pentru asta și nu vom sprijini pe nimeni care ar face-o.
- Dacă un terț acționează împotriva ta pentru o cercetare care a respectat aceste reguli, vom face cunoscut faptul că cercetarea ta a fost autorizată.
- Protecția se aplică sistemelor pe care le deținem și le operăm. Nu putem autoriza teste pe sisteme care aparțin altcuiva.
Recompense
- Pentru fiecare raport valid îți recunoaștem contribuția, cu acordul tău.
- Pentru o descoperire originală de severitate ridicată sau critică, putem oferi o recompensă financiară. Noi decidem dacă o oferim și cât de mare este, în funcție de impact și de calitatea raportului. Recompensa nu e garantată.
- Când mai multe persoane raportează aceeași problemă, contează primul raport complet.
- Nu putem plăti o recompensă acolo unde legea o interzice și nici cuiva care a încălcat aceste reguli.