Zgłaszanie podatności

Zakres

Zasady obejmują systemy utrzymywane przez SOFTSTAR:

• serwis softstar.com.pl wraz z podstronami,
• system zgłoszeń serwisowych zgloszenia.softstar.com.pl.

Zasady nie obejmują:

• systemów i infrastruktury naszych klientów — nawet jeśli obsługujemy je w ramach umowy, nie jesteśmy uprawnieni do udzielania zgody na ich testowanie,
• usług podmiotów trzecich, z których korzystamy (np. dostawców hostingu, CDN, poczty, formularzy czy mediów społecznościowych) — podatności w tych usługach zgłaszaj bezpośrednio ich dostawcom.

Co można zgłaszać

• podatności pozwalające na nieuprawniony dostęp do danych lub funkcji,
• obejście uwierzytelniania lub autoryzacji,
• wstrzykiwanie kodu (np. XSS, SQL injection, command injection),
• błędy konfiguracji ujawniające dane, pliki lub informacje o infrastrukturze,
• możliwość podszycia się pod SOFTSTAR z wykorzystaniem naszych domen,
• inne problemy, które realnie obniżają poziom bezpieczeństwa naszych systemów.

Zwykle nie traktujemy jako podatności:

• wyników automatycznych skanerów bez potwierdzenia realnego wpływu,
• braku pojedynczych nagłówków HTTP, jeśli nie wynika z tego konkretne zagrożenie,
• informacji o wersjach oprogramowania bez wskazania możliwości wykorzystania,
• ataków wymagających fizycznego dostępu do urządzenia ofiary.

Co powinno zawierać zgłoszenie

1. adres URL lub nazwę systemu, którego dotyczy problem,
2. opis podatności i jej możliwego wpływu,
3. kroki pozwalające odtworzyć problem,
4. minimalny dowód koncepcji (PoC), zrzuty ekranu lub fragmenty żądań i odpowiedzi,
5. datę i godzinę wykonania testów oraz adres IP, z którego je prowadzono,
6. dane kontaktowe do dalszej korespondencji.

Zgłoszenia przyjmujemy w języku polskim lub angielskim.

Bezpieczne przekazanie szczegółów

• Pierwszą wiadomość wyślij na adres [email protected], opisując problem bez dołączania pozyskanych danych.
• Nie przesyłaj danych osobowych, haseł, tokenów ani zawartości plików, do których uzyskałeś dostęp. Wystarczy wskazać, że dostęp był możliwy.
• Jeśli szczegóły wymagają bezpieczniejszego kanału, napisz o tym w pierwszej wiadomości — uzgodnimy sposób przekazania.
• Nie używaj do zgłoszeń formularza kontaktowego ani systemu zgłoszeń serwisowych.

Jak postępujemy ze zgłoszeniem

1. Potwierdzamy otrzymanie zgłoszenia w ciągu 3 dni roboczych.
2. Weryfikujemy problem i oceniamy jego wagę.
3. Informujemy o wyniku weryfikacji i planowanych działaniach.
4. Usuwamy podatność w terminie adekwatnym do jej wagi i złożoności.
5. Informujemy zgłaszającego o usunięciu problemu.

Prosimy o nieujawnianie informacji o podatności do czasu jej usunięcia lub przez okres uzgodniony z nami. Za zgodą zgłaszającego możemy wymienić go z imienia i nazwiska lub pseudonimu jako autora zgłoszenia.

Zasady odpowiedzialnego testowania

• Testuj wyłącznie systemy wymienione w zakresie.
• Korzystaj wyłącznie z własnych kont i danych testowych.
• Nie uzyskuj dostępu do danych innych osób, nie kopiuj, nie modyfikuj i nie usuwaj ich. Jeśli przypadkowo uzyskasz dostęp do cudzych danych, przerwij test i zgłoś to nam.
• Nie zakłócaj dostępności systemów — nie prowadź ataków DoS/DDoS, testów obciążeniowych ani intensywnego automatycznego skanowania.
• Nie stosuj socjotechniki wobec pracowników, klientów ani partnerów SOFTSTAR.
• Nie podejmuj prób fizycznego dostępu do biur ani urządzeń.
• Nie wykorzystuj podatności w stopniu większym, niż jest to konieczne do jej wykazania.
• Nie instaluj oprogramowania ani nie pozostawiaj w systemach żadnych zmian.

Działanie w dobrej wierze

Nie zamierzamy podejmować kroków prawnych wobec osób, które w dobrej wierze zgłoszą podatność i przestrzegają zasad opisanych na tej stronie. Deklaracja nie obejmuje działań naruszających dane lub dostępność systemów, wykraczających poza zakres albo prowadzonych w celu uzyskania korzyści.

SOFTSTAR nie prowadzi programu bug bounty i nie wypłaca wynagrodzeń za zgłoszenia.