Divulgare responsabilă pentru serviciile DediStart.

Prezentare generală

Niciun sistem de producție nu este perfect, iar revizuirea de securitate din partea cercetătorilor experimentați poate fi valoroasă când este realizată responsabil. Dacă crezi că ai identificat o vulnerabilitate care afectează un produs, serviciu sau site DediStart, raportează-o prin canalul publicat mai jos.

Programul este centrat pe divulgarea responsabilă, nu pe competiție publică. Rapoartele calificate pot fi considerate pentru o recompensă discreționară după validare internă, revizuire a gravității și verificarea duplicatelor.

Așteptări de raportare sigură

• Raportează problema cât mai curând posibil după descoperire și furnizează suficiente detalii pentru ca echipa să reproducă constatarea.
• Acordă un timp rezonabil pentru investigație și remediere înainte de a dezvălui problema public sau unui terț.
• Nu folosi impersonare, inginerie socială, phishing sau alte metode de contact înșelătoare în timpul testelor sau raportării.
• Folosește doar conturi create de tine și nu accesa, modifica sau distruge datele altor utilizatori.
• Evită metodele de testare care perturbă disponibilitatea, degradează serviciul pentru alții sau creează riscuri operaționale inutile.
• Păstrează confidențialitatea raportului cât timp problema este în curs de revizuire. Informațiile personale furnizate cu raportul nu vor fi împărtășite fără consimțământ, cu excepția cazului în care divulgarea este cerută de lege.
• Dacă urmezi aceste așteptări și celelalte condiții din această politică, Redcluster LTD nu intenționează să întreprindă acțiuni juridice în legătură cu raportul în sine.

Eligibilitate

Un raport poate fi considerat pentru revizuire în cadrul acestui program când toate condițiile de mai jos sunt îndeplinite:

1. Ești primul care raportează problema.
2. Urmezi așteptările de raportare sigură descrise în această politică.
3. Nu dezvălui public problema înainte ca Redcluster LTD să aibă o oportunitate rezonabilă de a investiga și răspunde.
4. Furnizezi o explicație clară a impactului împreună cu pași reproductibili sau o dovadă de concept funcțională.
5. Folosești doar propriile conturi și nu încerci să accesezi date care nu îți aparțin.
6. Nu ești localizat în, sau altfel supus, restricțiilor de sancțiuni care ar împiedica Redcluster LTD să participe la program.

Constatări în afara domeniului de aplicare

Categoriile de mai jos sunt în general în afara domeniului și pot să nu primească un răspuns individual când nu demonstrează un impact de securitate semnificativ și exploatabil.

Atacuri sociale și fizice

• Inginerie socială, phishing, impersonare sau alte încercări de a manipula personalul sau terții.
• Orice tentativă fizică împotriva proprietății companiei, infrastructurii sau facilităților centrului de date.

Disponibilitate și testare abuzivă

• Activitate de denial-of-service, brute forcing, testare de stres sau orice testare care ar putea degrada disponibilitatea serviciului.
• Rapoarte generate doar de instrumente automate sau scanare largă fără un impact demonstrat specific serviciului.
• Limite de rată lipsă raportate fără o cale practică de exploatare.

Constatări web cu semnal scăzut

• Probleme CSRF, self-XSS, clickjacking, spoofing de conținut pe pagini de eroare, atacuri homograf, redirectări deschise, observații CAPTCHA slab și probleme legate de cache.

Rapoarte despre headere, configurare și expunere

• Flag-uri cookie lipsă, headere de securitate lipsă fără impact demonstrat, lipsă noreferrer sau noopener, observații DKIM/SPF/DMARC, expunere versiune, listare directoare, observații SSL, OPTIONS activat sau divulgare IP server.

Cazuri limită cont și dispozitiv local

• Timeout-uri sesiune de autentificare, reutilizare TOTP 2FA, preocupări politică parolă, detalii verificare schimbare e-mail, observații flux activare 2FA sau probleme care necesită acces la dispozitivul utilizatorului.
• Revendicări de enumerare utilizatori care depind de comportamentul brute-force în loc de o slăbiciune practică a aplicației.

Software terț și sisteme externe

• Bug-uri în software terț, vulnerabilități WordPress, vulnerabilități browser sau manipulare parametri procesator de plăți în afara suprafeței directe a aplicației DediStart.

Ce să incluzi într-un raport

Un raport util include de obicei:

• Hostname-ul, URL-ul, serviciul sau fluxul de utilizator afectat.
• Pași clari de reproducere, inclusiv starea necesară a contului, sincronizarea sau detaliile mediului.
• Impactul observat și consecința de securitate pe care crezi că o implică problema.
• O dovadă de concept, capturi de ecran, exemple de cereri sau jurnale care ajută echipa să valideze raportul fără a repeta teste excesive.
• Datele tale de contact preferate în cazul în care sunt necesare clarificări suplimentare.

Canal de raportare

Trimite constatările inițiale la canalul de abuz și securitate de mai jos. Dacă problema este acceptată pentru revizuire, comunicarea ulterioară poate continua prin acel fir.