Disclosure-politik

Ansvarlig disclosure er en praksis, hvor sikkerhedsforskere rapporterer sårbarheder direkte til den berørte organisation, før de offentliggøres. Dette giver organisationen tid til at fikse problemet og beskytte brugerne.

Hos Defend.gl tror vi på, at transparens og samarbejde er nøglen til bedre cybersikkerhed. Vores disclosure-politik sikrer en struktureret og respektfuld proces for begge parter.

Når du rapporterer en sårbarhed gennem Defend.gl, forpligter vi os til:

• At bekræfte modtagelse inden for 48 timer
• At holde dig opdateret om status på din rapport
• At kreditere dig for dit fund (hvis ønsket)
• At udbetale eventuelle bounties rettidigt

1. Verificér sårbarheden. Sørg for, at du kan reproducere sårbarheden, og dokumentér trinene. Tag screenshots eller optag video, hvis muligt.
2. Skriv en rapport. Beskriv sårbarheden klart med titel, beskrivelse, reproduktionstrin, påvirkning og eventuel proof-of-concept.
3. Indsend via platformen. Brug Defend.gl's rapporteringsformular til at indsende din rapport sikkert. Undgå at sende via usikre kanaler.
4. Vent på respons. Vi bekræfter modtagelse inden for 48 timer og holder dig opdateret gennem hele processen, indtil fix og udbetaling.

En god sårbarhedsrapport gør det nemmere for os at forstå og verificere problemet. Jo mere detaljeret din rapport er, jo hurtigere kan vi reagere.

• Beskrivende titel: En klar titel, der opsummerer sårbarheden, f.eks. "SQL Injection i login-formular på example.gl".
• Detaljeret beskrivelse: Forklar, hvad sårbarheden er, hvilken type sårbarhed det er (XSS, IDOR, SQLi, etc.), og hvad der forårsager den.
• Reproduktionstrin: Trin-for-trin instruktioner til at reproducere sårbarheden. Inkludér URL'er, parametre og eventuelle payloads.
• Proof-of-Concept: Screenshots, videoer eller kodeeksempler, der demonstrerer sårbarheden. Hold PoC minimal, og undgå at eksfiltrere data.
• Påvirkningsvurdering: Beskriv den potentielle påvirkning: Hvad kan en angriber opnå? Hvilke data er i fare? Hvor mange brugere påvirkes?
• Forslag til løsning (valgfrit): Hvis du har forslag til, hvordan sårbarheden kan fikses, er det altid værdsat, men ikke påkrævet.

Vi forpligter os til følgende responstider for alle indsendte rapporter:

• 48 timer: Bekræftelse af modtagelse med rapport-ID og foreløbig vurdering af alvorlighed.
• 7 dage: Detaljeret vurdering af rapporten med beslutning om gyldighed og bounty-estimat.
• 90 dage: Standard disclosure-tidslinje. Sårbarheden fikses, og koordineret offentliggørelse aftales.
• 14 dage: Udbetaling af bounty efter verificering og godkendelse af rapporten.

Defend.gl følger en 90-dages koordineret disclosure-politik. Dette giver organisationer tilstrækkelig tid til at udvikle, teste og implementere en løsning.

Standard tidslinje:

Efter 90 dage fra den første rapport kan sikkerhedsforskeren offentliggøre detaljer om sårbarheden, medmindre andet er aftalt.

Forlængelse:

I komplekse tilfælde kan tidslinjen forlænges efter gensidig aftale. Vi kommunikerer åbent om status og forventet fix-dato.

Tidlig offentliggørelse:

Hvis sårbarheden aktivt udnyttes, eller hvis organisationen nægter at reagere, kan tidslinjen forkortes efter vores vurdering.

Kredit:

Vi krediterer altid forskeren i vores security advisories, medmindre forskeren ønsker at forblive anonym.

Følgende typer rapporter vil normalt ikke blive accepteret eller belønnet:

• Scanner-output: Rå output fra automatiserede scannere uden manuel verificering eller kontekst.
• Teoretiske sårbarheder: Sårbarheder uden praktisk påvirkning, eller som ikke kan demonstreres.
• Self-XSS: XSS, der kun påvirker den bruger, der udfører angrebet mod sig selv.
• Missing headers: Manglende security headers uden demonstreret udnyttelse eller påvirkning.
• Kendte sårbarheder: Sårbarheder, der allerede er rapporteret, eller som vi arbejder på at fikse.
• Social engineering: Phishing, vishing eller manipulation af medarbejdere er ikke tilladt.

Hvis du er usikker på, om en sårbarhed er inden for scope, eller har spørgsmål til disclosure-processen, er du velkommen til at kontakte os.

Brug vores kontaktformular til at sende os en besked. Du kan inkludere din PGP-nøgle, hvis du ønsker krypteret svar. Vi besvarer henvendelser inden for 48 timer på hverdage.