Nahlášení bezpečnostního problému

Kontrolou cizích formulářů se živíme, proto hlášení o našich vlastních systémech bereme vážně. Pokud jste ve službě formexposed našli zranitelnost, řekněte to prosím nejdříve nám.

Jak nahlásit

Napište na security@formexposed.com. Uveďte prosím dotčenou adresu nebo komponentu, postup reprodukce a co by s tím mohl útočník udělat. Stačí krátké hlášení – pokud budeme potřebovat více, zeptáme se.

Co slibujeme

Vaše hlášení potvrdíme do tří pracovních dnů a budeme vás informovat až do opravy.
Závažné problémy opravíme co nejrychleji a dáme vám vědět, až bude oprava nasazena.
Pokud si to přejete, uvedeme vás po opravě problému na této stránce.

Prosíme

testujte pouze se svým vlastním účtem a na svých vlastních webech;
nepřistupujte k více cizím datům, než je nutné k prokázání problému, a co jste viděli, smažte;
žádné odepření služby, zátěžové testy ani automatizované skenování s vysokou frekvencí;
žádný spam, sociální inženýrství ani fyzické útoky;
dejte nám přiměřený čas (navrhujeme 90 dní), než cokoli zveřejníte.

Dobrá víra

Pokud tato pravidla dodržíte, nepodnikneme proti vám kvůli vašemu výzkumu žádné právní kroky a nenahlásíme vás úřadům.

Rozsah

V rozsahu: formexposed.com, form.exposed, plugin formexposed pro WordPress, rozšíření pro TYPO3 a chování našeho skeneru (formexposed-bot).

Obvykle mimo rozsah, pokud neprokážete konkrétní dopad: chybějící bezpečnostní hlavičky, nastavení SPF/DMARC, clickjacking na stránkách bez akcí, čísla verzí, self-XSS.

Jsme malá firma a odměny (bounty) nevyplácíme – ale za každé hlášení jsme vděční.