Polityka zgłaszania podatności

Nasze zobowiązanie

Bezpieczeństwo to nasza praca, więc zgłoszenia dotyczące naszego własnego bezpieczeństwa traktujemy poważnie. Jeśli uważasz, że znalazłeś podatność w czymkolwiek, co utrzymujemy lub dostarczamy, chcemy o tym wiedzieć i będziemy z Tobą współpracować, by ją zrozumieć i usunąć.

Zakres

Polityka obejmuje:

• ten serwis, fluencesecurity.com, w tym blog i formularze kontaktowe;
• inne usługi w domenie fluencesecurity.com utrzymywane przez FluenceSecurity, takie jak account.fluencesecurity.com i img.fluencesecurity.com;
• nasze produkty XenXDR, AntiBait i Triazer wraz z ich serwisami. Jeśli produkt publikuje własną politykę zgłaszania podatności, uzupełnia ona tę politykę o zasady specyficzne dla produktu.

Poza zakresem:

• systemy, które utrzymujemy dla klienta lub w jego środowisku, chyba że klient zlecił Ci ich testowanie; takie ustalenia zgłaszaj klientowi;
• usługi osób trzecich, z których korzystamy, jak Cloudflare; zgłaszaj je dostawcy;
• ustalenia wymagające fizycznego dostępu do urządzenia, socjotechniki wobec naszych pracowników lub klientów albo odmowy usługi;
• brakujące nagłówki bezpieczeństwa, ujawnienie wersji i podobne ustalenia bez wykazanego wpływu;
• zgłoszenia wygenerowane wyłącznie przez skanery automatyczne bez weryfikacji.

Zasady

Prosimy:

• testuj wyłącznie systemy objęte zakresem i tylko w niezbędnym stopniu;
• zatrzymaj się, gdy tylko masz wystarczające dowody, by wykazać problem. Nie czytaj, nie modyfikuj ani nie wyprowadzaj danych, które nie są Twoje;
• nie pogarszaj ani nie zakłócaj działania usług i nie używaj narzędzi automatycznych na dużą skalę wobec systemów produkcyjnych;
• nie wysyłaj przez formularze kontaktowe więcej zgłoszeń testowych niż kilka potrzebnych do wykazania problemu;
• zachowaj szczegóły w poufności, dopóki nie usuniemy problemu i nie uzgodnimy publikacji;
• nie żądaj zapłaty jako warunku ujawnienia.

Jak zgłosić

Napisz na security@fluencesecurity.com. Jeśli chcesz zaszyfrować zgłoszenie, poproś w pierwszej wiadomości o nasz aktualny klucz PGP. Podaj:

• co i gdzie znalazłeś, z adresem URL lub wersją produktu;
• kroki odtworzenia i dowód koncepcji, jeśli go masz;
• wpływ, jak go rozumiesz;
• jak chcesz być wymieniony albo że wolisz pozostać anonimowy.

Nasz plik security.txt pod adresem /.well-known/security.txt wskazuje na tę politykę.

Czego możesz oczekiwać

• Potwierdzenia odbioru w ciągu 2 dni roboczych.
• Wstępnej oceny wagi i pierwszej odpowiedzi o naszym planie w ciągu 10 dni roboczych.
• Regularnych informacji podczas prac nad poprawką i wiadomości o jej wdrożeniu.
• Usunięcia potwierdzonych podatności w kolejności wynikającej z ich wagi.
• Publicznej wzmianki, jeśli sobie tego życzysz.

Nie prowadzimy obecnie płatnego programu bug bounty.

Skoordynowane ujawnienie

Prosimy o 90 dni od potwierdzenia odbioru przed publicznym ujawnieniem albo o czas do wdrożenia poprawki, zależnie od tego, co nastąpi wcześniej. Jeśli będziemy potrzebować więcej czasu, wyjaśnimy dlaczego i uzgodnimy z Tobą datę. Nie poprosimy o bezterminowe wstrzymanie ujawnienia.

Bezpieczna przystań

Jeśli działasz w dobrej wierze i zgodnie z tą polityką, FluenceSecurity nie podejmie wobec Ciebie kroków prawnych z powodu Twoich badań, nie zgłosi Cię z ich powodu organom ścigania i uzna Twoją aktywność za autoryzowaną w rozumieniu przepisów Kodeksu karnego o nieuprawnionym dostępie oraz podobnych przepisów innych państw, w zakresie, w jakim możemy to zrobić. Jeśli osoba trzecia podejmie wobec Ciebie działania z powodu badań objętych tą polityką, poinformujemy, że działałeś za naszą zgodą. Bezpieczna przystań nie obejmuje działań wykraczających poza powyższe zasady.

Zmiany

Możemy aktualizować politykę w miarę rozwoju programu. Wersja i data na górze wskazują aktualny tekst.