Kebijakan Keamanan Siber
DropBG (dropbg.io) • Pengungkapan Kerentanan Terkoordinasi
Kebijakan
Kami menghargai minat Anda dalam membantu kami meningkatkan keamanan kami. Harap ikuti aturan di bawah ini untuk memitigasi risiko implikasi hukum.
Panduan Pengungkapan Kerentanan Terkoordinasi
- Hindari pembagian tanpa izin. Selama proses pengungkapan terkoordinasi, harap diskusikan kerentanan hanya dengan vendor terkait, pemilik sistem, dan kami.
- Berikan waktu untuk perbaikan. Tunggu untuk mengungkapkan kerentanan kepada publik hingga pihak yang terdampak memiliki waktu yang cukup untuk mengatasinya, atau hingga Anda dan semua pihak—termasuk DropBG—mencapai kesepakatan pengungkapan.
- Minimalkan interaksi. Setelah Anda melaporkan kerentanan, jangan berinteraksi lagi dengan sistem yang terdampak selama proses pengungkapan terkoordinasi.
- Batasi ruang lingkup Anda. Saat mendemonstrasikan bukti konsep (proof of concept), lakukan hanya tindakan minimum yang diperlukan. Jangan mengunduh, memodifikasi, atau menghapus data apa pun melebihi yang diperlukan.
- Jangan melampaui akses Anda. Hindari meningkatkan hak akses atau menjelajahi sistem melebihi batas minimum yang diperlukan untuk bukti konsep Anda. Gunakan hanya akun Anda sendiri untuk pengujian dan jangan pernah mengambil data pengguna lain.
- Gunakan metode yang etis. Jangan gunakan teknik brute-force atau rekayasa sosial (social engineering) untuk mendapatkan akses ke sistem.
- Hindari tindakan berbahaya. Jangan lakukan serangan penolakan layanan (DDoS) atau memasang malware maupun virus.
- Sertakan alamat IP. Jika memungkinkan, sertakan alamat IP yang Anda gunakan selama penemuan Anda. Hal ini membantu kami menilai potensi eksploitasi dan mengurangi peringatan positif palsu.
- Komunikasikan rencana Anda. Jika Anda berniat mengungkapkan temuan Anda kepada publik, misalnya dalam presentasi atau artikel, harap beri tahu kami sebelumnya.
Apa yang Dapat Diharapkan dari Program CVD Kami
- Perlindungan Hukum. Selama Anda mengikuti panduan kami, bertindak dengan iktikad baik, dan tidak memiliki niat jahat, Anda tidak akan menghadapi tuntutan perdata atau pidana dari kami karena melaporkan kerentanan.
- Kerahasiaan & Anonimitas. Laporan Anda akan diperlakukan secara rahasia. Anda dapat memilih untuk tetap anonim, dan kami tidak akan membagikan data pribadi Anda kepada pihak ketiga mana pun tanpa persetujuan eksplisit Anda.
- Pengakuan. Kami dengan senang hati mencantumkan nama atau nama panggilan Anda sebagai pelapor kerentanan setelah masalah tersebut diselesaikan.
- Tanggapan Tepat Waktu. Anda akan menerima konfirmasi laporan Anda dalam waktu 3 hari kerja, dan kami akan menindaklanjuti masalah tersebut dalam waktu 5 hari kerja.
- Komunikasi. Kami akan terus memberi tahu Anda tentang perkembangan perbaikan kerentanan, dan dalam hal publikasi CVE, kami akan mengoordinasikan pengungkapan dengan semua pihak yang terlibat.
- Penghargaan Wall of Fame. Kami adalah proyek independen dan tidak menawarkan imbalan uang atau hadiah tunai. Sebagai penghargaan atas kontribusi Anda, kami dengan senang hati akan menampilkan nama atau nama pengguna Anda di Security Wall of Fame publik kami (kecuali Anda memilih untuk tetap anonim).
Untuk melaporkan kerentanan, kirim email ke dropna@pm.me. File keamanan RFC 9116 kami tersedia di /.well-known/security.txt.
Terakhir diubah pada 29 September 2026