Nahlásenie bezpečnostného problému

Rozsah

Táto politika sa vzťahuje na payout.one a jeho subdomény, naše API a mobilné aplikácie Payout. Ak je to možné, testujte v našom sandbox prostredí, nie v produkcii; pozrite si našu dokumentáciu pre vývojárov. Problémy v službách tretích strán, ktoré používame, nie sú v rozsahu; nahláste ich prosím priamo dodávateľovi.

Ako nahlásiť

Napíšte na security@payout.one po anglicky alebo po slovensky a uveďte:

• dotknutý host, URL alebo verziu aplikácie
• popis problému a jeho dopadu
• kroky na reprodukciu alebo proof of concept

Čo môžete očakávať

• Prijatie hlásenia potvrdíme do 5 pracovných dní.
• Úvodné posúdenie vám pošleme do 10 pracovných dní.
• Budeme vás priebežne informovať o oprave a dáme vám vedieť, keď bude problém vyriešený.

Prosíme, robte

• Testujte iba na vlastných účtoch a dátach.
• Pristupujte len k toľkým dátam, koľko potrebujete na preukázanie problému. Keď narazíte na dáta, ktoré nie sú vaše, zastavte sa a nahláste to; neuchovávajte ich ani nezdieľajte.
• Problém držte v dôvernosti, kým nebude opravený, a akékoľvek zverejnenie s nami koordinujte. Žiadame až 90 dní.

Prosíme, nerobte

• Útoky typu denial-of-service, záťažové testy ani automatizované skeny s vysokým objemom.
• Sociálne inžinierstvo, phishing ani fyzické útoky na našich zamestnancov, zákazníkov alebo kancelárie.
• Preberanie subdomén, registráciu služieb tretích strán ani zverejňovanie obsahu na našich doménach. DNS záznam a odpoveď poskytovateľa sú dostatočným dôkazom; nahláste ich.
• Platby, výbery ani iné finančné operácie na účtoch, ktoré nie sú vaše.

Odmeny

Payout neprevádzkuje bug bounty program. Akákoľvek odmena je na našom uvážení, závisí od potvrdeného dopadu a nie je predmetom vyjednávania. Neuhrádzame náklady vzniknuté počas výskumu, ako sú predplatné, účty alebo nástroje.

Zvyčajne mimo rozsahu

• Hlásenia z automatizovaných skenerov bez preukázaného dopadu
• Chýbajúce bezpečnostné hlavičky, príznaky cookies alebo nastavenia SPF/DKIM/DMARC bez funkčného útoku
• Clickjacking na stránkach bez citlivých akcií
• Self-XSS, odhalenie verzie, rate limiting na necitlivých endpointoch
• Problémy, ktoré vyžadujú rootnuté alebo jailbreaknuté zariadenie, fyzický prístup k odomknutému zariadeniu alebo už kompromitovaný počítač používateľa

Bezpečný prístav (safe harbour)

Ak sa v dobrej viere snažíte dodržiavať túto politiku, váš výskum považujeme za autorizovaný a nepodnikneme proti vám právne kroky. Ak proti vám za takýto výskum podnikne právne kroky tretia strana, dáme najavo, že ste konali v súlade s touto politikou. Ak si nie ste istí, či je niečo povolené, opýtajte sa nás na security@payout.one skôr, ako budete pokračovať.

Vaše osobné údaje

Osobné údaje, ktoré nám pošlete, ako je vaše meno alebo pseudonym, kontaktné údaje a obsah vášho hlásenia, používame výhradne na spracovanie vášho hlásenia: na komunikáciu s vami, overenie a opravu problému a, ak sa rozhodneme odmenu vyplatiť, na jej vyplatenie. Nezverejňujeme ich. Podrobnosti o tom, ako dlho ich uchovávame, a o vašich právach nájdete v našich zásadách ochrany osobných údajov alebo kontaktujte našu zodpovednú osobu (DPO) na dpo@payout.one.