Politik for offentliggørelse af sårbarheder

Vi tager sikkerhed alvorligt og værdsætter bidrag fra sikkerhedsbevidste personer, der hjælper med at holde vores fællesskab sikkert. Hvis du mener, at du har opdaget et sikkerhedsproblem på vores platform, opfordrer vi dig til at indberette det hurtigst muligt. Vi forpligter os til at undersøge alle indberetninger og vil samarbejde tæt med dig om at bekræfte og afhjælpe bekræftede sårbarheder. Vi beder dig venligst om at holde disse oplysninger fortrolige, indtil problemet er løst, for at beskytte vores fællesskab.

Politikkens anvendelsesområde

Denne politik gælder for alle websteder og tjenester, som vi administrerer. Hvis du er usikker på, om den sårbarhed, du har fundet, er omfattet, bedes du følge retningslinjerne heri.

Sikkerhedsundersøgelser af sårbarheder

Du er velkommen til at udføre ansvarlige sikkerhedstests af vores tjenester, som du har autoriseret adgang til. Din undersøgelse må dog ikke:

1. Overtræde nogen love.
2. Ændre eller slette data, der ikke tilhører dig.
3. Tilgå eller forsøge at tilgå data, som du ikke har tilladelse til at tilgå.
4. Udføre denial-of-service-angreb.
5. Udføre belastningstests.

Undtagelser kan overvejes efter den indledende indberetning efter vores sikkerhedsteams skøn.

Retningslinjer for indberetning

Hvis du vil indberette et problem, bedes du sende dine fund pr. e-mail til security@ideanote.io med følgende oplysninger:

• Mål: Angiv, hvor sårbarheden findes (f.eks. hovedwebstedet, cloudtjenesten osv.)
• Type: Klassificér sårbarheden (f.eks. DoS, omgåelse af autentificering osv.)
• Beskrivelse: Giv en grundig forklaring, herunder trin til at genskabe problemet og eventuelle antagelser.
• URL / placering: (Valgfrit) Den præcise URL, hvor sårbarheden blev fundet.
• Kontaktoplysninger: (Valgfrit) Alternative måder at komme i kontakt med dig på.

Bemærk, at vi i øjeblikket ikke understøtter GPG-kryptering. Du kan forvente en bekræftelse inden for 48 timer og en detaljeret opfølgning inden for tre hverdage.

Gyldige indberetninger

Undlad venligst at indsende indberetninger om:

• Kendte offentligt tilgængelige filer eller mapper.
• Politikker om kontolåsning under DoS-angreb.
• Forslag til DNS- og e-mailkonfigurationer.
• Phishing eller social manipulation.
• iFrame-indlejringer, X-Frame Options, clickjacking
• Sikkerhedsflag på ikke-følsomme cookies.

Tidslinje for offentliggørelse

Ved gyldige indberetninger vil vores sikkerhedsteam:

1. Bekræfte modtagelsen af Deres indberetning.
2. Forsøge at verificere og vurdere indberetningens påvirkning.
3. Bekræfte eller afvise problemet, herunder begrundelsen herfor.
4. Gennemgå relevant kode for lignende sårbarheder.
5. Forberede rettelser.
6. Offentliggøre en sikkerhedsmeddelelse, når afhjælpende foranstaltninger er klar.

Kompensation

Selvom vi på nuværende tidspunkt ikke tilbyder økonomiske belønninger for indberetning af sårbarheder, kan vi overveje at kompensere Dem for visse forskningsomkostninger, når vi har bekræftet Deres indberetning, forudsat at der foreligger en forudgående skriftlig godkendelse.

Vi ser frem til Deres samarbejde og takker Dem for at hjælpe Os med at opretholde et sikkert miljø for alle.