Политика за киберсигурност
DropBG (dropbg.io) • Координирано разкриване на уязвимости (CVD)
Политика
Оценяваме вашия интерес да ни помогнете да подобрим сигурността си. Моля, спазвайте правилата по-долу, за да избегнете всякакъв риск от правни последици.
Насоки за координирано разкриване на уязвимости
- Избягвайте неоторизирано споделяне. По време на процеса на координирано разкриване, моля, обсъждайте уязвимостта само със засегнатия доставчик, собственика на системата и нас.
- Дайте време за отстраняване. Изчакайте с публичното разкриване на уязвимостта, докато засегнатите страни имат достатъчно време да я отстранят, или докато вие и всички страни — включително DropBG — постигнете споразумение за разкриване.
- Сведете взаимодействията до минимум. След като сте докладвали за уязвимост, не взаимодействайте отново със засегнатата система по време на процеса на координирано разкриване.
- Ограничете обхвата си. Когато демонстрирате доказателство за концепция (PoC), извършвайте само минимално необходимите действия. Не изтегляйте, променяйте или изтривайте данни извън необходимото.
- Не превишавайте достъпа си. Избягвайте повишаване на привилегиите или проучване на системата отвъд минимума, необходим за вашето доказателство за концепция. Използвайте само собствените си акаунти за тестване и никога не извличайте данни на други потребители.
- Използвайте етични методи. Не използвайте техники за груба сила (brute-force) или социално инженерство за получаване на достъп до системата.
- Избягвайте злонамерени действия. Не провеждайте атаки за отказ от услуга (DoS/DDoS) и не инсталирайте зловреден софтуер или вируси.
- Предоставете IP адреси. Когато е възможно, включете IP адресите, които сте използвали по време на проучването си. Това ни помага да оценим потенциалната експлоатация и да намалим фалшивите положителни сигнали.
- Споделете плановете си. Ако възнамерявате публично да разкриете констатациите си, например в презентация или статия, моля, уведомете ни предварително.
Какво да очаквате от нашата CVD програма
- Правна защита. Докато спазвате нашите насоки, действате добросъвестно и нямате злонамерени цели, няма да предприемем граждански или наказателни действия срещу вас за докладване на уязвимост.
- Поверителност и анонимност. Вашият доклад ще бъде разглеждан като поверителен. Можете да изберете да останете анонимни и ние няма да споделяме личните ви данни с трети страни без вашето изрично съгласие.
- Признание. С радост ще посочим вашето име или псевдоним като откривател на уязвимостта, след като проблемът бъде решен.
- Навременен отговор. Ще получите потвърждение за вашия доклад в рамките на 3 работни дни и ще оценим проблема в рамките на 5 работни дни.
- Комуникация. Ще ви информираме за напредъка по отстраняването на уязвимостта, а в случай на публикуване на CVE ще координираме разкриването с всички замесени страни.
- Признание в Стената на славата. Ние сме независим проект и не предлагаме парични награди (bug bounty). В знак на признателност за вашия принос с удоволствие ще включим вашето име или псевдоним в публичната ни Стена на славата по сигурността (освен ако не предпочитате да останете анонимни).
За да докладвате уязвимост, пишете на dropna@pm.me. Нашият RFC 9116 файл за сигурност е достъпен на адрес /.well-known/security.txt.
Последна промяна на 29 септември 2026 г.