Політика відповідального розкриття вразливостей

Ми вдячні дослідникам, які допомагають знаходити вразливості в Bezpeco. Ця політика пояснює, як повідомити про вразливість і що ми гарантуємо у відповідь.

Як повідомити

Надішліть лист на admin@bezpeco.com.ua з темою «Вразливість». Опишіть:

• уразливу адресу або компонент;
• тип вразливості та її можливий вплив;
• кроки для відтворення, а також скриншоти чи запити, якщо є;
• ваші контакти для звʼязку.

Машиночитані контакти опубліковано у файлі security.txt.

Що входить в область

• bezpeco.com.ua — сайт;
• app.bezpeco.com.ua — кабінет;
• серверні API, які використовують сайт і кабінет.

Що не входить

• атаки на відмову в обслуговуванні (DoS) і навантажувальні тести;
• соціальна інженерія, фішинг наших працівників чи клієнтів, фізичний доступ;
• сервіси третіх сторін (Crisp, Twilio, Google, Microsoft, Дія) — про їхні вразливості повідомляйте їм напряму;
• звіти автоматичних сканерів без підтвердженого впливу;
• відсутність окремих заголовків безпеки без демонстрації реальної атаки.

Правила добросовісного дослідження

1. Використовуйте лише власні тестові облікові записи. Не отримуйте доступ до даних інших людей і підприємств.
2. Якщо випадково отримали доступ до чужих даних, зупиніться, не зберігайте їх і одразу повідомте нас.
3. Не змінюйте й не видаляйте дані, не порушуйте роботу сервісу.
4. Не розголошуйте вразливість, доки ми її не виправимо, або 90 днів після повідомлення — залежно від того, що настане раніше.

Наші зобовʼязання

• Підтвердимо отримання звіту протягом 3 робочих днів.
• Оцінимо вразливість і повідомимо план дій протягом 10 робочих днів.
• Повідомлятимемо про хід виправлення.
• Не ініціюватимемо юридичних дій щодо досліджень, проведених добросовісно за цими правилами.
• За вашою згодою подякуємо вам публічно після виправлення.

Грошової винагороди за знайдені вразливості наразі не передбачено.