Cybersäkerhetspolicy
DropBG (dropbg.io) • Koordinerat Avslöjande av Sårbarheter
Policy
Vi uppskattar ditt intresse för att hjälpa oss att förbättra vår säkerhet. Följ reglerna nedan för att minimera risken för rättsliga påföljder.
Riktlinjer för Koordinerat Avslöjande av Sårbarheter (CVD)
- Undvik obehörig delning. Under processen för koordinerat avslöjande ber vi dig att endast diskutera sårbarheten med den berörda leverantören, systemägaren och oss.
- Ge tid för en åtgärd. Vänta med att offentliggöra sårbarheten tills de berörda parterna har haft tillräckligt med tid för att åtgärda den, eller tills du och alla parter — inklusive DropBG — har nått en överenskommelse om offentliggörande.
- Håll interaktionerna till ett minimum. Efter att du har rapporterat en sårbarhet ska du inte interagera med det berörda systemet igen under pågående process.
- Begränsa din omfattning. När du demonstrerar ett proof of concept ska du endast utföra de minsta nödvändiga åtgärderna. Ladda inte ner, ändra eller radera några data utöver vad som krävs.
- Överskrid inte din behörighet. Undvik att eskalera behörigheter eller utforska ett system utöver det minimum som krävs för ditt proof of concept. Använd endast dina egna konton för testning och extrahera aldrig andra användares data.
- Använd etiska metoder. Använd inte brute-force eller social engineering-tekniker för att få åtkomst till ett system.
- Undvik skadliga handlingar. Utför inte överbelastningsattacker (DDoS) och installera inte skadlig kod eller virus.
- Ange IP-adresser. När det är möjligt, inkludera de IP-adresser du använde under din upptäckt. Detta hjälper oss att bedöma potentiella utnyttjanden och minska falska larm.
- Kommunicera dina planer. Om du har för avsikt att offentliggöra dina resultat, till exempel i ett föredrag eller en artikel, ber vi dig meddela oss i förväg.
Vad du kan förvänta dig av vårt CVD-program
- Rättsligt Skydd. Så länge du följer våra riktlinjer, agerar i god tro och inte har något skadligt uppsåt kommer vi inte att vidta civilrättsliga eller straffrättsliga åtgärder mot dig för att du rapporterar en sårbarhet.
- Konfidentialitet & Anonymitet. Din rapport behandlas konfidentiellt. Du kan välja att förbli anonym, och vi kommer inte att dela dina personuppgifter med tredje part utan ditt uttryckliga samtycke.
- Erkännande. Vi omnämner dig gärna med namn eller smeknamn som rapportör av en sårbarhet när problemet är löst.
- Snabbt Svar. Du får en bekräftelse på din rapport inom 3 arbetsdagar, och vi bedömer ärendet inom 5 arbetsdagar.
- Kommunikation. Vi håller dig informerad om hur åtgärden av sårbarheten fortskrider, och i händelse av en CVE-publicering samordnar vi offentliggörandet med alla inblandade parter.
- Erkännande på vår Wall of Fame. Vi är ett oberoende projekt och erbjuder inga ekonomiska belöningar (bug bounties). Som tack för ditt bidrag publicerar vi gärna ditt namn eller användarnamn på vår offentliga Security Wall of Fame (såvida du inte föredrar att vara anonym).
För att rapportera en sårbarhet, skicka ett e-postmeddelande till dropna@pm.me. Vår säkerhetsfil enligt RFC 9116 finns tillgänglig på /.well-known/security.txt.
Senast ändrad den 29 september 2026