Політика кібербезпеки
DropBG (dropbg.io) • Координоване розкриття вразливостей (CVD)
Політика
Ми цінуємо ваш інтерес до покращення нашої безпеки. Будь ласка, дотримуйтеся наведених нижче правил, щоб уникнути будь-яких правових ризиків.
Правила координованого розкриття вразливостей
- Уникайте несанкціонованого поширення. Під час процесу координованого розкриття обговорюйте вразливість лише із зачепленим постачальником, власником системи та нами.
- Дайте час на виправлення. Утримайтеся від публічного розкриття вразливості, доки зачеплені сторони не матимуть достатньо часу на її усунення або доки ви та всі сторони — включно з DropBG — не досягнете угоди про розкриття.
- Зведіть взаємодію до мінімуму. Після того як ви повідомили про вразливість, не взаємодійте повторно із зачепленою системою під час процесу координованого розкриття.
- Обмежте масштаб дій. Демонструючи підтвердження концепції (PoC), виконуйте лише мінімально необхідні дії. Не завантажуйте, не змінюйте та не видаляйте жодних даних понад необхідне.
- Не перевищуйте рівень доступу. Уникайте підвищення привілеїв або дослідження системи за межами мінімуму, необхідного для підтвердження концепції. Використовуйте для тестування лише власні акаунти та ніколи не вилучайте дані інших користувачів.
- Використовуйте етичні методи. Не застосовуйте методи перебору паролів (brute-force) або соціальної інженерії для отримання доступу до системи.
- Уникайте шкідливих дій. Не проводьте атак типу «відмова в обслуговуванні» (DoS/DDoS) і не встановлюйте шкідливе ПЗ чи віруси.
- Надайте IP-адреси. За можливості вкажіть IP-адреси, які ви використовували під час виявлення вразливості. Це допоможе нам оцінити потенційну експлуатацію та зменшити кількість хибних сповіщень.
- Повідомте про свої плани. Якщо ви маєте намір публічно розкрити свої знахідки, наприклад у доповіді чи статті, будь ласка, попередьте нас заздалегідь.
Чого очікувати від нашої програми CVD
- Правовий захист. Доки ви дотримуєтеся наших правил, дієте добросовісно та не маєте злого умислу, ми не ініціюватимемо цивільних або кримінальних позовів проти вас за повідомлення про вразливість.
- Конфіденційність та анонімність. Ваш звіт розглядатиметься як конфіденційний. Ви можете залишитися анонімним, і ми не передаватимемо ваші персональні дані третім особам без вашої явної згоди.
- Визнання заслуг. Ми з радістю вкажемо ваше ім'я або псевдонім як автора звіту про вразливість після того, як проблему буде вирішено.
- Своєчасна відповідь. Ви отримаєте підтвердження отримання звіту протягом 3 робочих днів, а первинну оцінку проблеми ми проведемо протягом 5 робочих днів.
- Комунікація. Ми інформуватимемо вас про хід усунення вразливості, а в разі публікації CVE скоординуємо розкриття з усіма залученими сторонами.
- Дошка пошани безпеки. Ми є незалежним проєктом і не пропонуємо грошових винагород (bug bounty). На знак вдячності за ваш внесок ми з радістю розмістимо ваше ім'я або нікнейм на нашій публічній Дошці пошани безпеки (якщо ви не забажаєте залишитися анонімним).
Щоб повідомити про вразливість, напишіть на dropna@pm.me. Наш файл безпеки за стандартом RFC 9116 доступний за адресою /.well-known/security.txt.
Останнє оновлення: 29 вересня 2026 р.