VulCode

Zgłaszanie podatności: jak zgłosić błąd bezpieczeństwa w VulCode

Znalazłeś lukę w naszej stronie, panelu klienta albo projekcie open source? Napisz do nas, zanim napisze ktoś inny. Tu są zasady, które chronią i Ciebie, i naszych klientów.

Zgłoś podatnośćBezpieczeństwo
Zgłoszenie podatności pisane w poczcie do hello@vulcode.com i na telefonie wątek odpowiedzi VulCode: odbiór, odtworzenie, poprawka i podziękowanie
Wątek zgłoszenia podatności na telefonie z odpowiedziami VulCode

Czego dotyczy ta polityka

Systemy, które utrzymujemy sami. Za resztę odpowiadają ich właściciele.

  1. vulcode.com

    • vulcode.com i wszystkie podstrony, także w wersji angielskiej

  2. Panel klienta i API

    • Panel klienta pod adresem vulcode.com/pl/panel, razem z jego samodzielną wersją
    • API strony pod adresem vulcode.com/api

  3. Nasze repozytoria open source

    • Nasze repozytoria open source w organizacji VulCodeCom na GitHubie

  4. Poza zakresem

    Systemy innych i działania wobec ludzi

    • Strony i systemy naszych klientów, nawet jeśli je zbudowaliśmy
    • Usługi dostawców, takich jak Cloudflare, GitHub czy Discord
    • Ataki socjotechniczne na nasz zespół i naszych klientów
    • Przeciążanie serwerów i testy wydajnościowe

Zasady testowania

Szukaj, ale tak, żeby nikt poza Tobą i nami nie odczuł, że szukałeś. Jeśli trzymasz się tych zasad, traktujemy Twoje zgłoszenie jako pomoc, a nie jako atak.

  1. Twoje konto testoweTwoje projektyTwoje zgłoszenia
    Cudze konta i hasła

    Używaj własnych kont

    Do testów panelu załóż własne konto. Nie próbuj logować się na cudze ani zgadywać haseł innych osób.

  2. Znalezienie
    Potwierdzenie
    Stop i zgłoszenie

    Zatrzymaj się na dowodzie

    Gdy widzisz, że luka działa, przestań. Nie pobieraj więcej danych, niż potrzeba, żeby to pokazać.

  3. Twoje kontoCudze konto
    Zmiana danych
    Usuwanie
    Faktury i zgłoszenia

    Nie zmieniaj i nie usuwaj danych

    Żadnych zmian w cudzych kontach, projektach, fakturach ani zgłoszeniach.

    1. Skaner z umiarem, na własnym koncie
    2. Bez testów obciążeniowych
    3. Bez masowych skanów

    Bez przeciążania

    Żadnych testów obciążeniowych i masowych skanów. Panel ma limity zapytań i potraktuje je jak atak.

  5. Cudze dane
    • Zgłoszenie od razu
    • Zapisanie
    • Udostępnienie

    Dane osobowe zostaw w spokoju

    Jeśli trafisz na dane innych osób, nie zapisuj ich, nie udostępniaj i od razu nam to zgłoś.

  6. Publikacja opisu luki
    Poprawkawdrożona
    Opisuzgodniony z nami
    Podpisza Twoją zgodą

    Nie publikuj przed naprawą

    Szczegóły luki zostają między nami, dopóki jej nie usuniemy i nie ustalimy z Tobą, co można opisać.

Jak napisać zgłoszenie

Zwykły e-mail na hello@vulcode.com wystarczy. Taki raport pozwala nam od razu odtworzyć problem.

Zgłoszenie podatności w poczcie: temat, gdzie, co, jak odtworzyć w trzech krokach, wpływ, dowód, podpis w podziękowaniach i dwa załączniki

  1. Gdzie i co

    Adres strony albo ścieżka w panelu, rodzaj podatności i jedno zdanie o tym, co pozwala zrobić.

  2. Jak odtworzyć

    Kroki po kolei, na własnym koncie testowym, tak żebyśmy mogli powtórzyć problem od razu.

  3. Wpływ, dowód i podpis

    Kto mógłby to wykorzystać, zrzut albo nagranie bez cudzych danych i czy chcesz podziękowania z imienia.

Co dzieje się po zgłoszeniu

Zgłoszenie czyta osoba, która pisze kod. Nie ma tu formularza, który znika w kolejce.

Ty
osoba zgłaszająca
  • OdbiórWysyłasz raport e-mailem
  • InformacjaSprawdzasz, czy luka zniknęła
  • PodziękowanieZgoda na podpis
VulCode
osoba, która pisze kod
  • OdbiórPotwierdzenie odbioru
  • WeryfikacjaOdtworzenie i ocena, kogo dotyczy
  • PoprawkaPoprawka wdrożona na produkcję
  • InformacjaOpis tego, co poprawione
  • PodziękowaniePodziękowanie z Twoim podpisem

  1. Odbiór

    Ty VulCode. Potwierdzamy, że zgłoszenie dotarło i ktoś się nim zajmuje.

  2. Informacja

    VulCode Ty. Piszemy Ci, co zostało poprawione, i prosimy o sprawdzenie.

  3. Podziękowanie

    Ty VulCode. Za Twoją zgodą podajemy, kto lukę znalazł.

Jeśli luka mogła dotknąć danych naszych klientów, informujemy ich i właściwy organ zgodnie z RODO.

Gdzie zgłosić, jeśli to nie nasz system

Nie każdy problem trafia do nas, a nie każdy błąd jest luką bezpieczeństwa. Adres do zgłoszeń jest też w standardowym miejscu, w którym szukają go narzędzia i badacze.

    • Luka na vulcode.com albo w panelu klientaWedług zasad z tej strony.
    • Luka w naszym projekcie open sourceE-mailem, nie w publicznym zgłoszeniu na GitHubie, dopóki nie wydamy poprawki.
    hello@vulcode.com
    • Luka na stronie, którą zbudowaliśmy dla klientaMożesz też napisać do nas, przekażemy sprawę klientowi.
    Właściciel strony
    • Luka w Cloudflare, GitHubie, DiscordzieTo ich systemy, nie nasze.
    Program bezpieczeństwa danej firmy
    • Zwykły błąd, który nie zagraża danymNaprawiamy, ale bez trybu pilnego.
    Formularz kontaktowy albo zgłoszenie w panelu
/.well-known/security.txt
Contact: mailto:hello@vulcode.comExpires: 2027-10-06T00:00:00.000ZPreferred-Languages: pl, enCanonical: https://vulcode.com/.well-known/security.txtPolicy: https://vulcode.com/pl/firma/zglaszanie-podatnosciPolicy: https://vulcode.com/en/company/vulnerability-disclosure

Pytania badaczy

Co badacze pytają nas najczęściej przed zgłoszeniem.

Czytaj dalej

Jak chronimy kod, dostępy i dane, i gdzie leżą nasze dokumenty.

Masz coś do zgłoszenia?

Napisz na hello@vulcode.com. Temat wpisze się sam, a wiadomość przeczyta osoba, która pisze kod.

Zgłoś podatność