1. Jak zgłosić
Napisz na serviceinfoclub@gmail.com. Podaj:
- na czym polega podatność i gdzie jest — adres strony lub zapytania;
- kroki odtworzenia — tak, abyśmy mogli ją powtórzyć;
- możliwy wpływ: jakie dane lub działania są zagrożone;
- swój kontakt do odpowiedzi.
Pisz po ukraińsku lub po angielsku.
Zakres: serwis infoclub.ai i jego usługi. [do uzupełnienia: które subdomeny wchodzą w zakres].
2. Co wolno podczas badania
- testować tylko na własnych kontach utworzonych do badania;
- używać tylko danych testowych, a nie danych prawdziwych osób;
- przerwać, gdy tylko potwierdzisz podatność;
- jeśli przypadkiem zobaczysz cudze dane — nie zapisywać ich, nikomu nie przekazywać i od razu nas powiadomić.
3. Czego nie wolno
- uzyskiwać dostępu do danych innych członków, zmieniać ich ani usuwać;
- przeprowadzać ataków odmowy usługi (DoS) i testów obciążeniowych;
- stosować socjotechniki wobec członków i zespołu INFOCLUB;
- uzyskiwać fizycznego dostępu do biur, serwerów lub urządzeń zespołu;
- wysyłać spamu przez formularze serwisu, bota lub e-mail;
- publikować informacji o podatności, zanim ją naprawimy.
4. Nasze zobowiązania
Jeśli przestrzegasz tych zasad, my:
- potwierdzamy otrzymanie zgłoszenia w ciągu […];
- informujemy Cię na bieżąco: ocena, plan i termin naprawy;
- nie podejmujemy kroków prawnych i nie zwracamy się do organów ścigania w związku z badaniem w dobrej wierze w granicach tych zasad.
5. Nagrody
Nagród pieniężnych za znalezione podatności (bug bounty) na razie nie ma. Jeśli program się pojawi, zaktualizujemy ten dokument.
6. security.txt
Kontakty do zgłaszania podatności są też opublikowane w formacie maszynowym (RFC 9116): https://infoclub.ai/.well-known/security.txt
Jak chroniona jest sama platforma — na stronie „Bezpieczeństwo platformy”.