Jeśli podejrzewasz, że w hopflow.pl jest luka w zabezpieczeniach, napisz do nas. Chcemy ją naprawić i chętnie współpracujemy ze zgłaszającymi.

§ 1. Jak zgłosić podatność

Wyślij wiadomość na adres security@hopflow.pl.
Opisz, na czym polega problem, jak go odtworzyć, której części usługi dotyczy i jaki widzisz skutek. Zrzuty ekranu, zapytania HTTP i krótki skrypt bardzo przyspieszają analizę.
Prosimy, aby do czasu naprawy nie publikować szczegółów luki ani nie otwierać publicznych zgłoszeń na jej temat.

§ 2. Co dzieje się po zgłoszeniu

Potwierdzamy otrzymanie zgłoszenia w ciągu 3 dni roboczych.
W ciągu 10 dni roboczych przekazujemy ocenę: zgłoszenie potwierdzone, potrzebujemy więcej informacji albo nie jest to podatność.
Podatności krytyczne staramy się naprawić w ciągu 7 dni, a o wysokiej wadze w ciągu 30 dni. Jeśli ten czas się wydłuża, informujemy Cię o tym.
Po wprowadzeniu poprawki publikujemy informację o luce. Jeśli chcesz, wymieniamy Cię jako autora zgłoszenia.

§ 3. Zasady badania

Prosimy, aby podczas badania usługi:

korzystać wyłącznie z własnych kont i własnych danych oraz nie uzyskiwać dostępu do danych innych użytkowników ani ich nie zmieniać,
nie przeprowadzać testów odmowy usługi (DoS), masowej wysyłki ani działań socjotechnicznych wobec nas lub naszych użytkowników,
przerwać badanie i niezwłocznie nas powiadomić, jeśli uzyskasz dostęp do danych osobowych innych osób,
dać nam rozsądny czas na naprawę przed publicznym ujawnieniem (prosimy o czas do 90 dni).

§ 4. Zakres

W zakresie:

serwis hopflow.pl i panel app.hopflow.pl,
publiczne API pod adresem api.hopflow.pl,
usługa przekierowań krótkich linków (domena 1lnk.pl i własne domeny klientów).

Poza zakresem:

zgłoszenia, które wymagają zrootowanego urządzenia lub wcześniej przejętego konta,
brak zalecanych nagłówków bezpieczeństwa bez wykazanego wpływu na bezpieczeństwo oraz wyniki skanerów automatycznych bez działającego dowodu koncepcji,
podatności w usługach osób trzecich (zgłoś je ich dostawcy),
treści i linki tworzone przez użytkowników. Zgłoszenia nadużyć opisuje § 6.

§ 5. Czego możesz oczekiwać od nas

Traktujemy zgłoszenie jako poufne do czasu wydania poprawki.
Nie zamierzamy dochodzić roszczeń od osób, które działają w dobrej wierze i zgodnie z zasadami z § 3.
Nie prowadzimy programu bug bounty, więc nie wypłacamy nagród pieniężnych. Chętnie podziękujemy z imienia lub pseudonimu, jeśli sobie tego życzysz.

§ 6. Nadużycia, a nie podatności

Jeśli chcesz zgłosić link użytkownika (phishing, spam, złośliwe oprogramowanie), nie potrzebujesz konta. Skorzystaj z przycisku zgłoszenia na stronie linku, z formularza zgłoszenia nadużycia lub napisz na abuse@hopflow.pl. Adres security@ służy wyłącznie do zgłaszania luk w zabezpieczeniach.