Responsible disclosure

Bezpieczeństwo traktujemy poważnie — także własne. Jeśli znalazłeś podatność w naszych systemach lub usługach, daj nam znać. Odpowiemy, naprawimy i nie będziemy podejmować kroków prawnych wobec osób działających w dobrej wierze i zgodnie z poniższymi zasadami.

Jak zgłosić podatność

• Napisz na contact@unshade.pl. Jeśli zgłoszenie zawiera wrażliwe szczegóły, poproś w pierwszej wiadomości o bezpieczny kanał — ustalimy go.
• Opisz podatność, jej wpływ i kroki pozwalające ją odtworzyć. Zrzuty ekranu, żądania HTTP lub krótki PoC bardzo pomagają.
• Możesz zgłosić podatność anonimowo. Jeśli podasz dane kontaktowe, użyjemy ich wyłącznie do rozmowy o zgłoszeniu.

Co obiecujemy

• Potwierdzimy otrzymanie zgłoszenia i poinformujemy Cię o postępach prac.
• Będziemy z Tobą w kontakcie podczas analizy i naprawy, a po zamknięciu tematu poinformujemy o wyniku.
• Za Twoją zgodą podziękujemy publicznie za zgłoszenie.
• Nie podejmiemy kroków prawnych wobec badaczy, którzy działają w dobrej wierze i trzymają się tych zasad.

Zasady

• Nie naruszaj prywatności innych osób, nie niszcz ani nie modyfikuj danych i nie pogarszaj dostępności usług (żadnych ataków DoS).
• Nie stosuj socjotechniki wobec naszych pracowników, klientów ani partnerów i nie uzyskuj dostępu do cudzych kont.
• Testuj wyłącznie na własnych kontach i danych. Gdy natrafisz na dane osobowe lub poufne, przerwij działania i zgłoś to.
• Nie ujawniaj podatności publicznie, zanim nie zostanie naprawiona i nie uzgodnimy terminu publikacji.

Zakres

Zgłoszenia dotyczą domeny unshade.pl i jej subdomen oraz systemów, którymi zarządzamy. Usługi stron trzecich, z których korzystamy, pozostają poza zakresem — zgłoś je bezpośrednio do ich dostawców. Podatności w systemach naszych klientów podlegają osobnym ustaleniom w ramach projektów.