Polityka w wersji roboczej
Ta polityka została przygotowana do przeglądu i jeszcze nie obowiązuje. Do czasu jej publikacji obowiązuje Regulamin.
01Nasze zobowiązanie
Sprzedawcy polegają na PapelShip przy przyjmowaniu płatności, a na qPapel – przy ochronie swojego oprogramowania. Chętnie przyjmujemy zgłoszenia od badaczy, którzy wykryją problemy z bezpieczeństwem i chcą pomóc nam je usunąć.
02Zakres
Objęte zakresem
- Serwis papelship.com i panel PapelShip.
- Hostowane strony płatności i sklepy w domenie mypapel.com.
- API PapelShip, webhooki oraz serwery uwierzytelniania qPapel.
- SDK qPapel dla C++ i C#.
Poza zakresem
- Ataki typu „odmowa usługi”, testy obciążeniowe lub próby obniżenia dostępności.
- Socjotechnika, phishing lub ataki fizyczne na pracowników lub biura.
- Treści, kod lub konfiguracja kontrolowane przez poszczególnych sprzedawców.
- Usługi podmiotów trzecich, z których korzystamy – podatności w nich należy zgłaszać ich właścicielom.
- Ustalenia bez wykazanego wpływu na bezpieczeństwo, np. brakujące nagłówki na stronach statycznych.
03Sposób zgłaszania
Zgłoszenie należy przesłać e-mailem na adres [email protected] z tematem „Security report”. Prosimy o podanie:
- opisu problemu i jego potencjalnych skutków;
- adresu URL, punktu końcowego, wersji SDK lub komponentu, których dotyczy problem;
- kroków pozwalających odtworzyć problem oraz – w miarę możliwości – dowodu koncepcji (proof of concept);
- informacji, czy i w jaki sposób badacz chce zostać wymieniony jako autor zgłoszenia.
04Zasady prowadzenia testów
- Testy można przeprowadzać wyłącznie na własnych kontach i sklepach albo za wyraźną zgodą.
- Nie wolno uzyskiwać dostępu do danych innych Użytkowników ani ich modyfikować lub usuwać; w przypadku dotarcia do takich danych należy niezwłocznie przerwać działania i zgłosić ten fakt.
- Nie wolno wykorzystywać wykrytej podatności do obchodzenia zabezpieczeń qPapel innego sprzedawcy ani do uzyskiwania licencji.
- Nie wolno uruchamiać automatycznych skanów generujących duży ruch.
- Szczegóły należy zachować w poufności do czasu potwierdzenia przez nas usunięcia podatności.
05Badania prowadzone w dobrej wierze
Jeżeli badacz przestrzega niniejszej Polityki, działa w dobrej wierze i zapewni nam rozsądny czas na reakcję, nie podejmiemy wobec niego kroków prawnych w związku z prowadzonymi badaniami i będziemy z nim współpracować w celu zrozumienia i rozwiązania problemu.
06Czego można się spodziewać
Potwierdzimy otrzymanie zgłoszenia, będziemy informować badacza o postępach w jego analizie i powiadomimy go o rozwiązaniu problemu. Obecnie nie prowadzimy płatnego programu bug bounty.