Säkerhet
Rapportera en säkerhetssårbarhet
Om du har hittat en svaghet i euphile.eu eller i någon av plattformsprodukterna, berätta det för oss. Vi läser varje rapport, vi svarar alla som rapporterar, och vi ger dig erkännande när problemet är åtgärdat.
Din rapport
Fält markerade med * är obligatoriska. Skriv på engelska om du kan. Vi läser också rapporter på alla EU-språk.
Reglerna
Vad du får testa
- euphile.eu och alla tjänster under euphile.eu: applikationerna, administrationskonsolerna och API:erna.
- De tio plattformsprodukterna, inklusive deras skrivbordsprogram och tillägg, i den senast släppta versionen.
- Alla andra system som vi driver och som innehåller kunddata.
Vad som inte omfattas
- Tjänster som tredje parter driver och som vi bara använder. Rapportera dem till deras ägare.
- Överbelastningsattacker (denial of service), belastningstester och alla tester som gör tjänsten långsammare eller avbryter den för andra.
- Social engineering, nätfiske och fysiska angrepp mot vår personal, våra kunder eller våra kontor.
- Resultat från automatiska skannrar utan en påvisad, utnyttjbar påverkan.
- Saknade säkerhetshuvuden, cookie-flaggor eller poster för e-postautentisering, om du inte visar en konkret attack.
- Self-XSS, clickjacking på sidor utan känslig åtgärd och avslöjande av programvaruversioner.
- Promptar som får en AI-modell att säga något oönskat, om de inte korsar en säkerhetsgräns: en annan kunds data, en hemlighet eller en åtgärd som användaren inte får utföra.
Så testar du
- Använd bara konton som du äger, eller konton vars ägare har gett dig skriftligt tillstånd.
- Om du kommer åt data som inte är dina, sluta. Kopiera, spara eller dela dem inte, och nämn det i din rapport.
- Gör bara det som behövs för att bevisa problemet: inga ändringar eller raderingar, ingen persistens och ingen förflyttning vidare till andra system.
- Håll automatiserad trafik under 5 förfrågningar per sekund.
- Dela inte detaljerna med någon förrän vi har släppt en korrigering, eller förrän 90 dagar efter din rapport, beroende på vad som inträffar först. Vi kan komma överens om ett annat datum tillsammans.
- Begär inte betalning i utbyte mot att inte offentliggöra. Det är utpressning, inte forskning.
Vad vi åtar oss
- Vi bekräftar mottagandet inom 2 arbetsdagar.
- Vi skickar en första bedömning, med vår klassning av allvarlighetsgraden, inom 5 arbetsdagar.
- Vi håller dig informerad minst en gång i månaden tills problemet är löst.
- Vi meddelar dig när korrigeringen är släppt, och vi kommer överens med dig om när säkerhetsbulletinen publiceras.
- Med ditt samtycke nämner vi dig vid namn i säkerhetsbulletinen och bland erkännandena.
Safe harbour
- Om du agerar i god tro och följer dessa regler betraktar vi din forskning som auktoriserad. Vi kommer inte att vidta rättsliga åtgärder mot dig för den, och vi kommer inte att stödja någon som gör det.
- Om en tredje part vidtar åtgärder mot dig för forskning som följde dessa regler, kommer vi att göra känt att din forskning var auktoriserad.
- Detta gäller system som vi äger och driver. Vi kan inte auktorisera tester av system som tillhör någon annan.
Belöningar
- Varje giltig rapport får erkännande, med ditt samtycke.
- För ett originellt fynd med hög eller kritisk allvarlighetsgrad kan vi erbjuda en ekonomisk belöning. Vi beslutar om vi erbjuder en, och hur stor den är, utifrån påverkan och rapportens kvalitet. En belöning är inte garanterad.
- När flera personer rapporterar samma problem är det den första fullständiga rapporten som räknas.
- Vi kan inte betala ut en belöning där lagen förbjuder det, eller till någon som har brutit mot dessa regler.