Cybersikkerhedspolitik
DropBG (dropbg.io) • Koordineret Offentliggørelse af Sårbarheder
Politik
Vi sætter pris på din interesse i at hjælpe os med at forbedre vores sikkerhed. Følg venligst nedenstående regler for at mindske enhver risiko for juridiske konsekvenser.
Retningslinjer for Koordineret Offentliggørelse af Sårbarheder (CVD)
- Undgå uautoriseret deling. Under den koordinerede proces bedes du kun drøfte sårbarheden med den berørte leverandør, systemejeren og os.
- Giv tid til en rettelse. Vent med at offentliggøre sårbarheden, indtil de berørte parter har haft tilstrækkelig tid til at udbedre den, eller indtil du og alle parter — inklusive DropBG — har indgået en aftale om offentliggørelse.
- Hold interaktioner på et minimum. Når du har rapporteret en sårbarhed, må du ikke interagere med det berørte system igen under den koordinerede proces.
- Begræns dit omfang. Når du demonstrerer et proof of concept, må du kun udføre de minimalt nødvendige handlinger. Download, ændr eller slet ikke data ud over, hvad der er strengt nødvendigt.
- Overskrid ikke din adgang. Undgå at eskalere rettigheder eller udforske et system ud over det minimum, der er nødvendigt for dit proof of concept. Brug kun dine egne konti til test, og træk aldrig andre brugeres data ud.
- Brug etiske metoder. Brug ikke brute-force eller social engineering-teknikker til at skaffe adgang til et system.
- Undgå skadelige handlinger. Udfør ikke denial-of-service-angreb, og installer ikke malware eller virus.
- Oplys IP-adresser. Inkluder så vidt muligt de IP-adresser, du brugte under din opdagelse. Dette hjælper os med at vurdere potentiel udnyttelse og reducere falske alarmer.
- Kommuniker dine planer. Hvis du har til hensigt at offentliggøre dine resultater, f.eks. i et foredrag eller en artikel, bedes du give os besked i god tid.
Hvad du kan forvente af vores CVD-program
- Juridisk Beskyttelse. Så længe du følger vores retningslinjer, handler i god tro og ikke har ondsindede hensigter, vil vi ikke anlægge civile søgsmål eller straffesager mod dig for at rapportere en sårbarhed.
- Fortrolighed & Anonymitet. Din rapport behandles fortroligt. Du kan vælge at forblive anonym, og vi deler ikke dine personoplysninger med tredjeparter uden dit udtrykkelige samtykke.
- Anerkendelse. Vi krediterer dig gerne med navn eller kaldenavn som anmelder af en sårbarhed, når problemet er løst.
- Hurtigt Svar. Du modtager en bekræftelse på din rapport inden for 3 hverdage, og vi vurderer sagen inden for 5 hverdage.
- Kommunikation. Vi holder dig orienteret om status på udbedringen af sårbarheden, og i tilfælde af en CVE-offentliggørelse koordinerer vi udgivelsen med alle involverede parter.
- Anerkendelse på vores Wall of Fame. Vi er et uafhængigt projekt og tilbyder ikke penpræmier (bug bounties). Som anerkendelse af dit bidrag viser vi gerne dit navn eller brugernavn på vores offentlige Security Wall of Fame (medmindre du foretrækker at være anonym).
For at rapportere en sårbarhed skal du sende en e-mail til dropna@pm.me. Vores RFC 9116-sikkerhedsfil er tilgængelig på /.well-known/security.txt.
Sidst ændret den 29. september 2026