Cybersikkerhetspolicy
DropBG (dropbg.io) • Koordinert Offentliggjøring av Sårbarheter
Policy
Vi setter pris på din interesse for å hjelpe oss med å forbedre sikkerheten vår. Vennligst følg reglene nedenfor for å unngå enhver risiko for juridiske konsekvenser.
Retningslinjer for Koordinert Offentliggjøring av Sårbarheter (CVD)
- Unngå uautorisert deling. Under den koordinerte prosessen ber vi deg om kun å diskutere sårbarheten med den berørte leverandøren, systemeieren og oss.
- Gi tid til en utbedring. Vent med å offentliggjøre sårbarheten til de berørte partene har hatt tilstrekkelig tid til å utbedre den, eller til du og alle parter — inkludert DropBG — har inngått en avtale om offentliggjøring.
- Hold interaksjoner på et minimum. Etter at du har rapportert en sårbarhet, må du ikke samhandle med det berørte systemet igjen under den koordinerte prosessen.
- Begrens omfanget ditt. Når du demonstrerer et konseptbevis (proof of concept), må du kun utføre de minimalt nødvendige handlingene. Ikke last ned, endre eller slett data utover det som er strengt nødvendig.
- Ikke overskrid tilgangen din. Unngå å eskalere rettigheter eller utforske et system utover det minimum som kreves for konseptbeviset ditt. Bruk kun dine egne kontoer til testing, og hent aldri ut andre brukeres data.
- Bruk etiske metoder. Ikke bruk brute-force- eller sosial manipuleringsteknikker (social engineering) for å få tilgang til et system.
- Unngå skadelige handlinger. Ikke utfør tjenestenektangrep (DDoS) eller installer skadevare eller virus.
- Oppgi IP-adresser. Når det er mulig, inkluder IP-adressene du brukte under oppdagelsen. Dette hjelper oss med å vurdere potensiell utnyttelse og redusere falske alarmer.
- Kommuniser planene dine. Hvis du har til hensikt å offentliggjøre funnene dine, for eksempel i et foredrag eller en artikkel, ber vi deg gi oss beskjed på forhånd.
Hva du kan forvente fra vårt CVD-program
- Juridisk Beskyttelse. Så lenge du følger retningslinjene våre, handler i god tro og ikke har ondsinnede hensikter, vil vi ikke gå til sivile søksmål eller straffesak mot deg for å rapportere en sårbarhet.
- Konfidensialitet & Anonymitet. Rapporten din vil bli behandlet konfidensielt. Du kan velge å forbli anonym, og vi vil ikke dele personopplysningene dine med noen tredjepart uten ditt uttrykkelige samtykke.
- Anerkjennelse. Vi krediterer deg gjerne med navn eller kallenavn som rapportør av en sårbarhet så snart problemet er løst.
- Raskt Svar. Du vil motta en bekreftelse på rapporten din innen 3 virkedager, og vi vil vurdere saken innen 5 virkedager.
- Kommunikasjon. Vi holder deg informert om fremdriften i utbedringen av sårbarheten, og ved en eventuell CVE-publisering koordinerer vi offentliggjøringen med alle involverte parter.
- Anerkjennelse på vår Wall of Fame. Vi er et uavhengig prosjekt og tilbyr ikke pengebelønninger (bug bounties). Som anerkjennelse for bidraget ditt viser vi gjerne navnet eller brukernavnet ditt på vår offentlige Security Wall of Fame (med mindre du foretrekker å være anonym).
For å rapportere en sårbarhet, send en e-post til dropna@pm.me. Vår RFC 9116-sikkerhetsfil er tilgjengelig på /.well-known/security.txt.
Sist endret 29. september 2026