Polityka cyberbezpieczeństwa
DropBG (dropbg.io) • Skoordynowane ujawnianie podatności (CVD)
Polityka
Doceniamy Twoje zainteresowanie pomocą w poprawie naszego bezpieczeństwa. Prosimy o przestrzeganie poniższych zasad, aby wyeliminować ryzyko konsekwencji prawnych.
Wytyczne dotyczące skoordynowanego ujawniania podatności
- Unikaj nieautoryzowanego udostępniania. Podczas procesu skoordynowanego ujawniania rozmawiaj o podatności wyłącznie z dostawcą, właścicielem systemu oraz z nami.
- Daj czas na naprawę. Wstrzymaj się z publicznym ujawnieniem podatności, dopóki zainteresowane strony nie będą miały wystarczająco dużo czasu na jej usunięcie lub dopóki Ty i wszystkie strony — w tym DropBG — nie osiągniecie porozumienia w sprawie ujawnienia.
- Ogranicz interakcje do minimum. Po zgłoszeniu podatności nie wchodź ponownie w interakcję z dotkniętym systemem podczas procesu skoordynowanego ujawniania.
- Ogranicz swój zakres działań. Demonstrując dowód koncepcji (PoC), wykonuj tylko minimalne niezbędne czynności. Nie pobieraj, nie modyfikuj ani nie usuwaj żadnych danych poza tym, co jest konieczne.
- Nie przekraczaj swoich uprawnień. Unikaj podnoszenia uprawnień lub eksploracji systemu poza minimum niezbędne do dowodu koncepcji. Do testów używaj wyłącznie własnych kont i nigdy nie pobieraj danych innych użytkowników.
- Stosuj etyczne metody. Nie używaj technik brute-force ani socjotechniki w celu uzyskania dostępu do systemu.
- Unikaj złośliwych działań. Nie przeprowadzaj ataków typu denial-of-service (DoS/DDoS) ani nie instaluj złośliwego oprogramowania czy wirusów.
- Podaj adresy IP. W miarę możliwości dołącz adresy IP używane podczas odkrywania podatności. Pomaga nam to ocenić potencjalne wykorzystanie luki i zmniejszyć liczbę fałszywych alarmów.
- Informuj o swoich planach. Jeśli zamierzasz publicznie ujawnić swoje odkrycia, na przykład w prelekcji lub artykule, poinformuj nas o tym z wyprzedzeniem.
Czego możesz oczekiwać od naszego programu CVD
- Ochrona prawna. Dopóki przestrzegasz naszych wytycznych, działasz w dobrej wierze i nie masz złych zamiarów, nie podejmiemy wobec Ciebie kroków cywilnych ani karnych za zgłoszenie podatności.
- Poufność i anonimowość. Twoje zgłoszenie będzie traktowane jako poufne. Możesz pozostać anonimowy, a my nie udostępnimy Twoich danych osobowych podmiotom trzecim bez Twojej wyraźnej zgody.
- Uznanie. Z przyjemnością wyróżnimy Cię imieniem, nazwiskiem lub pseudonimem jako osobę zgłaszającą podatność po rozwiązaniu problemu.
- Szybka odpowiedź. Otrzymasz potwierdzenie przyjęcia zgłoszenia w ciągu 3 dni roboczych, a wstępną analizę problemu przeprowadzimy w ciągu 5 dni roboczych.
- Komunikacja. Będziemy Cię informować o postępach w usuwaniu podatności, a w przypadku publikacji CVE skoordynujemy ujawnienie ze wszystkimi zaangażowanymi stronami.
- Wyróżnienie na Ścianie Chwały. Jesteśmy niezależnym projektem i nie oferujemy nagród pieniężnych (bug bounty). W dowód uznania za Twój wkład z radością umieścimy Twoje imię lub pseudonim na naszej publicznej Ścianie Chwały Bezpieczeństwa (chyba że wolisz pozostać anonimowy).
Aby zgłosić podatność, napisz na adres dropna@pm.me. Nasz plik bezpieczeństwa zgodny ze standardem RFC 9116 jest dostępny pod adresem /.well-known/security.txt.
Ostatnia modyfikacja: 29 września 2026 r.