Politica de Securitate Cibernetică
DropBG (dropbg.io) • Divulgarea Coordonată a Vulnerabilităților
Politică
Apreciem interesul tău de a ne ajuta să ne îmbunătățim securitatea. Te rugăm să urmezi regulile de mai jos pentru a evita orice risc de implicații legale.
Instrucțiuni privind Divulgarea Coordonată a Vulnerabilităților
- Evită partajarea neautorizată. În timpul procesului de divulgare coordonată, te rugăm să discuți despre vulnerabilitate doar cu furnizorul afectat, proprietarul sistemului și cu noi.
- Acordă timp pentru remediere. Așteaptă înainte de a divulga public vulnerabilitatea până când părțile afectate au avut suficient timp să o rezolve sau până când tu și toate părțile — inclusiv DropBG — ați ajuns la un acord de divulgare.
- Menține interacțiunile la minimum. După ce ai raportat o vulnerabilitate, nu mai interacționa cu sistemul afectat în timpul procesului de divulgare coordonată.
- Limitează-ți aria de acțiune. Atunci când demonstrezi un concept (proof of concept), efectuează doar acțiunile minime necesare. Nu descărca, modifica sau șterge date dincolo de ceea ce este strict necesar.
- Nu îți depăși nivelul de acces. Evită escaladarea privilegiilor sau explorarea unui sistem dincolo de minimul necesar pentru demonstrarea conceptului. Folosește doar propriile conturi pentru testare și nu exfiltra niciodată datele altor utilizatori.
- Folosește metode etice. Nu utiliza tehnici de tip brute-force sau inginerie socială pentru a obține acces la un sistem.
- Evită acțiunile rău-intenționate. Nu efectua atacuri de tip denial-of-service și nu instala programe malware sau viruși.
- Furnizează adresele IP. Ori de câte ori este posibil, include adresele IP pe care le-ai folosit în timpul descoperirii. Acest lucru ne ajută să evaluăm o potențială exploatare și să reducem alertele fals pozitive.
- Comunică-ți planurile. Dacă intenționezi să îți faci publice descoperirile, de exemplu într-o prezentare sau într-un articol, te rugăm să ne anunți din timp.
La ce să te aștepți de la programul nostru CVD
- Protecție Juridică. Atâta timp cât respecți instrucțiunile noastre, acționezi cu bună-credință și nu ai intenții rău-voitoare, nu te vei confrunta cu acțiuni civile sau penale din partea noastră pentru raportarea unei vulnerabilități.
- Confidențialitate și Anonimat. Raportul tău va fi tratat ca fiind confidențial. Poți alege să rămâi anonim și nu vom partaja datele tale personale cu nicio terță parte fără consimțământul tău explicit.
- Recunoaștere. Suntem bucuroși să îți menționăm numele sau pseudonimul ca raportor al unei vulnerabilități odată ce problema este rezolvată.
- Răspuns Prompt. Vei primi o confirmare a raportului tău în termen de 3 zile lucrătoare și vom evalua problema în termen de 5 zile lucrătoare.
- Comunicare. Te vom ține la curent cu progresul remedierii vulnerabilității, iar în cazul publicării unui CVE, vom coordona divulgarea cu toate părțile implicate.
- Recunoaștere pe Panoul de Onoare (Wall of Fame). Suntem un proiect independent și nu oferim recompense bănești (bug bounties). În semn de recunoaștere pentru contribuția ta, vom afișa cu bucurie numele sau pseudonimul tău pe Panoul nostru de Onoare pentru Securitate public (cu excepția cazului în care preferi să rămâi anonim).
Pentru a raporta o vulnerabilitate, trimite un e-mail la dropna@pm.me. Fișierul nostru de securitate RFC 9116 este disponibil la /.well-known/security.txt.
Ultima modificare pe 29 septembrie 2026