1. Bevezetés
A biztonság működésünk alapja. Örömmel fogadjuk biztonsági kutatók, etikus hackerek és a közösség bejelentéseit, amelyek segítenek a sérülékenységek feltárásában és javításában. Ez a szabályzat leírja a felelős bejelentés módját és vállalásainkat.
2. Hatókör
A szabályzat a unofax.com webalkalmazás és kapcsolódó API-k sérülékenységeire vonatkozik. Nem tartozik ide:
• külső szolgáltatás (például Square vagy Google Analytics);
• alkalmazottak vagy felhasználók megtévesztése, adathalászat;
• szolgáltatásmegtagadási támadás (DoS/DDoS);
• fizikai biztonság;
• nem az unofax tulajdonában álló szoftver vagy infrastruktúra hibája.
3. Bejelentés
Lehetséges sérülékenységet a support@unofax.com címen jelentsen. Adjon meg minél több részletet:
• a hiba leírása és lehetséges hatása;
• reprodukálási lépések;
• bizonyítékok (képernyőkép, példakód, napló);
• neve és elérhetősége (opcionális, de segíti az egyeztetést).
4. Vállalásaink
Jóhiszemű, a szabályzatnak megfelelő bejelentésnél vállaljuk:
• a beérkezés visszaigazolását 3 munkanapon belül;
• kezdeti értékelést 10 munkanapon belül;
• tájékoztatást a javítás állásáról;
• hogy a szabályzatnak megfelelő kutatás miatt nem indítunk jogi eljárást;
• kérésére nevének feltüntetését a hiba nyilvános ismertetésekor.
5. Kutatói irányelvek
A felelős kutatáshoz:
• ne érjen el, módosítson vagy töröljön más felhasználóhoz tartozó adatot;
• ne zavarja vagy rontsa a szolgáltatás elérhetőségét;
• ne hozza nyilvánosságra a hibát, amíg észszerű lehetőséget nem kaptunk a javításra;
• járjon el jóhiszeműen, kerülje az unofaxot vagy felhasználóit károsító lépéseket;
• csak saját vagy kifejezett engedéllyel vizsgálható fiókon teszteljen.
6. Jogi védelem
A szabályzat szerinti biztonsági kutatást engedélyezettnek tekintjük, és a megfelelően eljáró kutató ellen nem indítunk jogi eljárást. Ha harmadik fél emiatt eljárást indít, észszerű lépéseket teszünk annak közlésére, hogy a tevékenység engedélyezett volt.
7. Kizárások
Általában nem fogadjuk el:
• hiányzó biztonsági fejlécet igazolható kihasználás nélkül;
• clickjackinget érzékeny művelet nélküli oldalon;
• self-XSS-t, amely csak a saját munkamenetet érinti;
• hiányzó sebességkorlátozást visszaélési lehetőség bemutatása nélkül;
• elavult böngészőt vagy bővítményt igénylő hibát;
• automatikus vizsgálat találatát kézi ellenőrzés nélkül.
8. Kapcsolat
Bejelentéseit és kérdéseit a support@unofax.com címre küldheti.