Această pagină explică cum raportați o problemă de securitate în Beloplan, ce puteți aștepta de la noi și regulile pe care le cerem cercetătorilor de bună-credință. Raportările sunt binevenite de la oricine, client sau nu.
Raportare
Cum raportați o vulnerabilitate#
Scrieți la security@beloplan.be. Aceeași adresă, împreună cu politica noastră și limbile pe care le citim, este publicată în format care poate fi citit automat în security.txt.
Nu folosiți pentru aceasta adresa de suport și nu faceți publice detaliile înainte ca noi să apucăm să remediem problema.
Ce să includeți
- Care este problema și unde se află: adresa paginii sau a punctului de acces și produsul (aplicația web, aplicația de telefon sau API-ul).
- Pașii pentru a o reproduce sau un proof of concept funcțional. O demonstrație scurtă, care funcționează, valorează mai mult decât o descriere lungă.
- Ce ar putea face un atacator cu ea, în măsura în care ați putut stabili fără să mergeți mai departe decât permit aceste reguli.
- Ora la care ați testat și adresa de la care ați testat, ca s-o putem găsi în jurnalele noastre.
- Cum vă putem contacta și dacă doriți să fiți menționat pe nume după ce problema este remediată.
Răspunsul nostru
Ce puteți aștepta de la noi#
- Confirmăm primirea raportului dumneavoastră în cel mult o zi lucrătoare.
- Vă ținem la curent până când problema este remediată, inclusiv atunci când nu o putem reproduce sau nu o considerăm vulnerabilitate, și vă spunem de ce.
- Cerem divulgare coordonată: dați-ne un timp rezonabil să remediem problema înainte de a publica ceva. Termenul nostru implicit este de 90 de zile de la raportare. Dacă avem nevoie de mai mult timp sau dacă aveți un motiv să publicați mai devreme, stabilim o dată împreună.
Bună-credință
Cercetare de bună-credință#
Cercetarea de securitate făcută cu bună-credință este binevenită. Nu vom întreprinde acțiuni în justiție împotriva unui raport de bună-credință care respectă aceste reguli:
- Nu accesați și nu modificați datele altora mai mult decât este necesar ca să demonstrați problema. Folosiți un cont al dumneavoastră.
- Nu efectuați atacuri de tip denial-of-service și nu faceți nimic care degradează serviciul pentru alții.
- Fără inginerie socială asupra personalului sau clienților noștri și fără atacuri fizice.
- Nu trimiteți spam și nu folosiți o vulnerabilitate ca să trimiteți mesaje către oameni.
- Dacă ajungeți la date personale, opriți-vă și anunțați-ne. Nu le păstrați, nu le copiați și nu le transmiteți mai departe.
În afara domeniului
Ce nu considerăm vulnerabilitate#
Acestea sunt exemple de raportări pe care de obicei le închidem fără remediere:
- Un header de bune practici lipsă, fără impact demonstrat.
- Rezultatul brut al unui scanner automat, fără o dovadă funcțională că problema poate fi exploatată.
- Self-XSS, în care singura persoană care poate fi atacată este cea care a introdus payload-ul.
- Clickjacking pe o pagină care nu are nicio acțiune sensibilă de declanșat.
Recompense
Fără program de recompense (bug bounty)#
În prezent nu plătim recompense pentru raportări. Cu acordul dumneavoastră, vă putem mulțumi pe nume și vă vom anunța când problema este remediată.
Incidente
Incidente de securitate care afectează clienții#
Dacă un incident de securitate afectează clienții noștri, îi anunțăm pe clienții afectați și pe autorități, așa cum cer legea și obligațiile noastre Peppol. Mentenanța planificată și incidentele sunt anunțate pe pagina de stare.