Rapportera säkerhetsbrister

Tillämpningsområde

Denna policy gäller för alla produkter, tjänster, webbplatser och applikationer som drivs av fino data services GmbH – oavsett under vilket varumärke eller vilken domän de erbjuds.

Utanför tillämpningsområdet

Följande omfattas inte av denna policy:

Tredjepartstjänster och infrastruktur som vi använder men inte driver själva
Produkter och webbplatser som tillhör samarbetspartner eller närstående företag som inte ägs av fino data services GmbH
Attacker som riktar sig mot tillgängligheten hos våra system (t.ex. överbelastningsattacker)
Social manipulation riktad mot våra medarbetare eller kunder, samt fysiska angrepp mot våra lokaler

Om du är osäker på om ett system omfattas av tillämpningsområdet, kontakta oss gärna i förväg.

Så här anmäler du en sårbarhet

Skicka din rapport till [email protected]. För att vi snabbt ska kunna utvärdera och återskapa ditt fynd är följande uppgifter till stor hjälp:

En beskrivning av sårbarheten och den berörda tjänsten, URL:en eller slutpunkten.
Reproducerbara steg eller ett koncepttest som gör det möjligt att återskapa felet.
De potentiella konsekvenserna, så långt du kan bedöma dem.
Dina kontaktuppgifter för eventuella följdfrågor.

[email protected]

Vad vi förväntar oss av dig

För att vi ska kunna betrakta ditt arbete som säkerhetsforskning i god tro gäller följande bindande regler:

Använd endast de data som är absolut nödvändiga för att påvisa sårbarheten. Du får inte radera eller ändra data som tillhör andra.
Respektera tredje parters integritet. Du får inte dela med dig av några personuppgifter som du kommer i kontakt med och får inte lagra dem längre än vad som är nödvändigt för bevisföringen.
Överbelastningsattacker, skräppost och social manipulation riktad mot våra medarbetare, kunder eller samarbetspartner är strängt förbjudet.
Utnyttja inte en sårbarhet i större utsträckning än vad som är nödvändigt för att påvisa den. Du får framför allt inte läcka ut eller ändra data eller skaffa dig varaktig åtkomst.
Ge oss rimlig tid att åtgärda problemet. Offentliggör detaljerna först efter att ha samrått med oss. (Ansvarsfull rapportering)

Hur vi hanterar din anmälan

Vi bekräftar mottagandet av din anmälan, vanligtvis inom en arbetsdag.
Vi granskar resultatet och hör av oss om vi har ytterligare frågor.
Vi håller dig informerad om hur behandlingen fortskrider och om vilka åtgärder som vidtas.

Inget bug bounty-program

Vi har för närvarande inget bug bounty-program och betalar inte ut någon ekonomisk ersättning för rapporter. Vi uppskattar dock varje välgrundad rapport och behandlar den med samma omsorg.

Safe Harbor

Om du agerar i god tro och följer denna policy betraktar vi din säkerhetsforskning som godkänd. I så fall kommer vi inte att vidta rättsliga åtgärder mot dig och kommer inte att anmäla dig till polisen angående din forskning.

Om en tredje part vidtar rättsliga åtgärder mot dig på grund av att du har följt denna policy kommer vi, på begäran, att klargöra att dina åtgärder har samordnats med oss. Om du är osäker på om en viss åtgärd omfattas av denna policy, vänligen fråga oss i förväg.