W ActorDo, zobowiązujemy się zapewniać naszym użytkownikom, partnerom i systemom najwyższy poziom bezpieczeństwa, integralności i zaufania.

Dowiedz się więcej o Actor Bezpieczeństwo danych i Polityka prywatności

Nasz Program ujawniania podatności (VDP) ma zapewnić jasny, bezpieczny i odpowiedzialny sposób, w jaki badacze bezpieczeństwa, etyczni hakerzy i członkowie społeczności mogą zgłaszać luki w zabezpieczeniach naszych produktów i usług.

Program ten zachęca do współpracy i odpowiedzialnego ujawniania podatności, umożliwiając nam identyfikowanie luk, usuwanie ich i ograniczanie ryzyka, zanim zostaną one wykorzystane.

Zakres

Systemy i zasoby objęte programem obejmują (między innymi):

  • Aplikacje internetowe i interfejsy API ActorDo
  • Usługi backendowe, mikrousługi i infrastruktura chmurowa
  • Systemy wewnętrzne, o ile uzyskano wcześniejszą zgodę (zob. kontakt)

Systemy i zasoby nieobjęte programem obejmują:

  • Usługi, integracje lub zależności stron trzecich, które nie zostały stworzone przez ActorDo
  • Ataki fizyczne / na sprzęt (np. centra danych, urządzenia, chyba że wyraźnie udzielono na nie zgody)
  • Inżynieria społeczna, phishing lub podszywanie się pod inne osoby (chyba że udzielono na to wyraźnej pisemnej zgody)
  • Błędy niezwiązane z bezpieczeństwem lub prośby o nowe funkcje
  • Wszelkie testy, które mogą spowodować zakłócenia w działaniu usługi lub odmowę usługi

Aby zgłoszenie kwalifikowało się do programu, podatność powinna:

  • Występować w najnowszej publicznie udostępnionej wersji (lub oficjalnie wydanej wersji beta)
  • Prowadzić do wpływu na bezpieczeństwo (np. wycieku danych, eskalacji uprawnień, zdalnego wykonania kodu, obejścia zabezpieczeń)

Wytyczne i zasady współpracy

Aby zachować prawo do wyróżnienia lub nagrody, podczas udziału w programie należy przestrzegać następujących zasad:

  1. Nie wyrządzaj szkód
    • Nie usuwaj ani nie modyfikuj danych i nie zakłócaj normalnego działania usług.
    • Unikaj działań zakłócających (np. przeprowadzania ataków DDoS lub powodowania pogorszenia jakości usług).
  2. Ogranicz zakres testów
    • Nie próbuj uzyskiwać dostępu do danych niepublicznych ani nimi manipulować w zakresie wykraczającym poza to, co jest bezwzględnie konieczne do wykazania podatności.
    • Jeśli to możliwe, korzystaj ze środowiska testowego lub konta nieprodukcyjnego.
  3. Poufność
    • Nie publikuj ustaleń (na blogach, w mediach społecznościowych itp.), zanim ActorDo nie będzie mieć odpowiedniego czasu na udzielenie odpowiedzi i usunięcie problemu (zob. „Termin ujawnienia”).
    • Nie udostępniaj tych informacji osobom trzecim ani ich nie sprzedawaj.
  4. Bez inżynierii społecznej
    • Phishing, podszywanie się pod inne osoby i podobne techniki są poza zakresem, chyba że zostały wyraźnie dozwolone.
  5. Szanuj prywatność i ograniczenia prawne
    • Nie naruszaj przepisów o ochronie prywatności ani nie uzyskuj dostępu do wrażliwych danych osobowych w zakresie wykraczającym poza to, co jest konieczne do wykazania luki.
    • Przestrzegaj obowiązujących lokalnych przepisów prawa, regulacji i dobrych praktyk.
  6. Ujawnianie i koordynacja
    • Daj nam czas (zwykle 90 dni) na rozwiązanie problemu przed jego publicznym ujawnieniem, chyba że uzgodnimy inaczej.
    • Jeśli uważasz, że wcześniejsze ujawnienie jest uzasadnione (np. ze względu na ryzyko wykorzystania podatności), poinformuj nas, abyśmy mogli uzgodnić krótszy termin.

Naruszenie tych zasad (np. działania destrukcyjne lub publiczne ujawnienie podatności bez uzgodnienia) może skutkować utratą prawa do nagrody lub publicznego wyróżnienia za zgłoszenie.

Zgłaszanie podatności

Co uwzględnić w zgłoszeniu

Wyślij zgłoszenie na adres alex@actordo.com i dołącz:

  • Krótki opis problemu
  • Kroki pozwalające odtworzyć problem lub dowód koncepcji
  • System lub adres URL, którego dotyczy problem
  • (Opcjonalnie) imię i nazwisko lub pseudonim, abyśmy mogli podać autora zgłoszenia

Potwierdzimy otrzymanie zgłoszenia w ciągu 5 dni roboczych i będziemy informować Cię na bieżąco o postępach prac nad poprawką. Nie każde zgłoszenie zostanie potwierdzone — dotyczy to zgłoszeń, które nie zostaną uznane za zasadne.

W zgłoszeniu zaznacz, czy chcesz pozostać anonimowy(-a), czy też zgadzasz się na publiczne podanie swoich danych.

Wyróżnienia i nagrody

  • W zależności od wpływu i przejrzystości zgłoszenia możemy zaoferować nagrodę w podziękowaniu lub publiczne wyróżnienie.
  • Nagrody są przyznawane według naszego uznania i zależą od powagi problemu oraz jakości zgłoszenia.
  • Powielone zgłoszenia lub problemy o niewielkim wpływie mogą nie kwalifikować się do nagrody.

Bezpieczna przystań

Jeśli postępujesz zgodnie z niniejszymi zasadami w dobrej wierze, jesteś chroniony(-a) przed działaniami prawnymi związanych z Twoimi badaniami.

Dziękujemy za pomoc w zapewnianiu bezpieczeństwa ActorDo.