1. Wprowadzenie
Bezpieczeństwo jest fundamentem naszego działania. Z zadowoleniem przyjmujemy zgłoszenia od badaczy bezpieczeństwa, etycznych hakerów oraz szerszej społeczności, którzy pomagają nam identyfikować i eliminować potencjalne podatności. Niniejsza polityka opisuje, jak odpowiedzialnie zgłaszać problemy z bezpieczeństwem oraz czego możesz się od nas spodziewać.
2. Zakres
Niniejsza polityka dotyczy podatności wykrytych w aplikacji internetowej unofax dostępnej pod adresem unofax.com oraz jej powiązanych interfejsach API. Poza zakresem polityki znajdują się:
• Usługi podmiotów trzecich (np. przetwarzanie płatności Square, Google Analytics)
• Ataki socjotechniczne lub phishingowe wymierzone w pracowników lub użytkowników unofax
• Ataki odmowy usługi (DoS/DDoS)
• Kwestie bezpieczeństwa fizycznego
• Podatności w oprogramowaniu lub infrastrukturze niebędących własnością unofax
3. Jak zgłosić problem
Jeśli odkryjesz potencjalną podatność w zabezpieczeniach, prosimy o jej zgłoszenie na adres e-mail support@unofax.com. Dołącz jak najwięcej szczegółów:
• Opis podatności i jej potencjalnego wpływu
• Kroki pozwalające odtworzyć problem
• Wszelkie dowody potwierdzające (zrzuty ekranu, kod proof-of-concept, logi)
• Twoje imię i dane kontaktowe (opcjonalnie, lecz pomocne w dalszej korespondencji)
4. Nasze zobowiązania
Gdy zgłaszasz podatność w dobrej wierze i zgodnie z niniejszą polityką, zobowiązujemy się do:
• Potwierdzenia otrzymania Twojego zgłoszenia w ciągu 3 dni roboczych
• Przedstawienia wstępnej oceny w ciągu 10 dni roboczych
• Informowania Cię na bieżąco o postępach w rozwiązywaniu problemu
• Niepodejmowania wobec Ciebie działań prawnych za czynności badawcze przeprowadzone zgodnie z niniejszą polityką
• Przypisania Ci zasług (jeśli sobie tego życzysz), gdy publicznie zajmiemy się daną podatnością
5. Wytyczne dla badaczy
Aby Twoje badania były prowadzone w odpowiedzialny sposób, prosimy o przestrzeganie następujących wytycznych:
• Nie uzyskuj dostępu do danych innych użytkowników, nie modyfikuj ich ani nie usuwaj
• Nie zakłócaj ani nie degraduj dostępności usług unofax
• Nie ujawniaj publicznie podatności, zanim nie będziemy mieli rozsądnej możliwości jej wyeliminowania
• Działaj w dobrej wierze i unikaj wszelkich działań mogących zaszkodzić unofax lub jego użytkownikom
• Przeprowadzaj testy wyłącznie na kontach, które posiadasz lub do testowania których masz wyraźne pozwolenie
6. Bezpieczna przystań
Uznajemy badania bezpieczeństwa prowadzone zgodnie z niniejszą polityką za autoryzowane i nie będziemy podejmować działań prawnych wobec badaczy, którzy stosują się do tych wytycznych. Jeśli podmiot trzeci wszcznie przeciwko Tobie postępowanie prawne w związku z czynnościami przeprowadzonymi zgodnie z niniejszą polityką, podejmiemy rozsądne kroki w celu wykazania, że Twoje działania były autoryzowane.
7. Wyłączenia
Następujące rodzaje odkryć zasadniczo nie kwalifikują się do rozpatrzenia w ramach niniejszej polityki:
• Brakujące nagłówki bezpieczeństwa, które nie prowadzą do demonstrowalnego exploita
• Clickjacking na stronach bez wrażliwych działań
• Self-XSS (cross-site scripting wpływający wyłącznie na sesję własną użytkownika)
• Brak ograniczenia liczby żądań bez wykazania potencjału nadużycia
• Podatności wymagające przestarzałych przeglądarek lub wtyczek
• Problemy wykryte za pomocą automatycznego skanowania bez ręcznej weryfikacji
8. Kontakt
W celu przesłania wszystkich zgłoszeń i zapytań prosimy o kontakt e-mailowy: support@unofax.com.