Tervezet szabályzat
Ez a szabályzat felülvizsgálatra készült, és még nem lépett hatályba. Amíg nincs közzétéve, a Szolgáltatási feltételek szövege az irányadó.
01Vállalásunk
A kereskedők a fizetések fogadásában a PapelShip-re, szoftvereik védelmében pedig a qPapel-re támaszkodnak. Szívesen fogadjuk azoknak a kutatóknak a bejelentéseit, akik biztonsági problémát találnak, és segíteni szeretnének annak elhárításában.
02Hatály
A szabályzat hatálya alá tartozik
- A papelship.com és a PapelShip irányítópult.
- A mypapel.com domainen futó hosztolt fizetési oldalak és áruházak.
- A PapelShip API, a webhookok és a qPapel hitelesítési szerverek.
- A qPapel C++ és C# SDK-k.
A szabályzat hatálya alá nem tartozik
- Szolgáltatásmegtagadással járó támadás (DoS), terheléses tesztelés vagy a rendelkezésre állás rontására irányuló kísérlet.
- Pszichológiai manipuláció (social engineering), adathalászat, valamint a munkatársak vagy az irodák elleni fizikai támadás.
- Az egyes kereskedők által kezelt tartalmak, kódok vagy konfigurációk.
- Az általunk igénybe vett harmadik felek szolgáltatásai; az ezekkel kapcsolatos bejelentéseket azok üzemeltetőihez kell intézni.
- Igazolt biztonsági hatással nem járó megállapítások, például statikus oldalak hiányzó fejlécei.
03A bejelentés módja
Írjon az [email protected] címre „Security report” tárgymegjelöléssel. Kérjük, a bejelentésben adja meg:
- a probléma leírását és lehetséges hatását;
- az érintett URL-t, végpontot, SDK-verziót vagy komponenst;
- a reprodukálás lépéseit, valamint – ha lehetséges – a koncepció igazolását (proof of concept);
- azt, hogy kéri-e, hogy a felfedezést az Ön nevével jelöljük meg, és ha igen, milyen formában.
04A tesztelés szabályai
- Kizárólag saját fiókjain és áruházain, vagy kifejezett engedély birtokában végezzen tesztelést.
- Ne férjen hozzá más felhasználók adataihoz, és ne módosítsa vagy törölje azokat; amint ilyen adathoz ér, hagyja abba a tesztelést, és jelentse a problémát.
- A megállapításokat ne használja fel más kereskedő qPapel védelmének megkerülésére vagy licencek megszerzésére.
- Ne futtasson nagy forgalmat generáló automatizált vizsgálatokat.
- A részleteket kezelje bizalmasan mindaddig, amíg a javítást meg nem erősítettük.
05Jóhiszemű kutatás
Ha betartja a jelen szabályzatot, jóhiszeműen jár el, és észszerű időt biztosít számunkra a válaszadásra, kutatási tevékenysége miatt nem indítunk Ön ellen jogi eljárást, és együttműködünk Önnel a probléma feltárásában és megoldásában.
06Mire számíthat
Visszaigazoljuk bejelentése beérkezését, a vizsgálat ideje alatt tájékoztatjuk a fejleményekről, és értesítjük, ha a problémát elhárítottuk. Jelenleg nem működtetünk díjazott hibavadász (bug bounty) programot.