Politik om oplysning om sårbarhed

Vores engagement

Vi tager vores brugeres og deres datas sikkerhed alvorligt. Vi modtager gerne rapporter fra sikkerhedseksperter og vil samarbejde med dig for at forstå og løse ethvert problem hurtigt. Vi vil ikke anlægge sag mod dig for sikkerhedsforskning udført i god tro i henhold til denne politik.

Anvendelsesområde

Inden for rammerne

• ahaslides.com og dets underdomæner (for eksempel presenter.ahaslides.com og audience.ahaslides.com)
• AhaSlides-webapplikationen, præsentations- og publikumsapps

Ude af sigte

• Denial-of-service (DoS/DDoS) og volumetriske eller trafikoversvømmelsestests
• Social manipulation af personale, brugere eller leverandører; fysiske angreb
• Spam eller fund fra automatiserede scannere uden en påvist, udnyttelig effekt
• Rapporter, der kun påvirker ikke-understøttede eller udtjente browsere
• Tredjepartstjenester, vi ikke kontrollerer (oplæg dem til tredjeparten)
• Åben (ikke-godkendt) publikumsadgang: Publikumsappen tillader bevidst alle at deltage i en præsentation og indsende svar uden en konto eller login, så publikum kan deltage frit. Rapporter om, at publikums deltagelse eller indsendelsesflow mangler godkendelse, behandles ikke som sårbarheder.
• Bedste fremgangsmåder uden sikkerhedspåvirkning (f.eks. manglende headere uden udnyttelse, SPF/DMARC-kritik, self-XSS, vurderinger med begrænset hastighed). Disse er velkomne, men behandles ikke som sårbarheder.

Rules of Engagement

Vær venlig at do:

• Rapportér det, så snart du finder et problem, og giv os rimelig tid til at løse det, før du offentliggør det.
• Brug kun dine egne testkonti. Stop ved proof-of-concept.

Vær venlig at ikke:

• Få adgang til, rediger, download eller slet data, der ikke er dine egne. For at bevise adgang er et skærmbillede eller en minimal, redigeret optagelse tilstrækkelig, så stjæl ikke rigtige brugerdata.
• Forringe eller afbryde vores tjenester eller køre automatiserede angreb med stor volumen.
• Offentliggør problemet, før vi har bekræftet, at det er løst (se Koordineret offentliggørelse).

Sådan rapporteres

E-mail security@ahaslides.com med:

1. En klar beskrivelse af sårbarheden og dens konsekvenser.
2. Trinvis gengivelse, inklusive den berørte URL eller det berørte slutpunkt.
3. Proof-of-concept (skærmbilleder, en kort video eller en minimal anmodning), redigeret.
4. Dit navn eller brugernavn (valgfrit).

Hvad du kan forvente af os

• Anerkendelse inden for 2 hverdage.
• A triage-beslutning (gyldig, brug for mere information eller uden for omfanget) inden for 5 hverdage.
• Regelmæssige opdateringer, mens vi arbejder på en løsning, og giver besked når det er løst.
• Offentlig kredit i vores sikkerhedsanerkendelser, hvis du ønsker det.

Koordineret offentliggørelse

Vi beder dig om at holde oplysningerne private, indtil vi bekræfter, at en løsning er implementeret, og koordinerer enhver offentlig rapport med os. Vores målrettede afhjælpningsvindue er 90 dageHvis vi har brug for længere tid, fortæller vi dig hvorfor.

Anerkendelse

AhaSlides er en voksende virksomhed og driver ikke et fast, offentliggjort betalt dusørprogram. Hvor en rapport er gyldig, original og ansvarligt offentliggjort, kan vi efter eget skøn tilbyde et tegn på påskønnelse og/eller offentlig anerkendelse som tak.

Duplikerede rapporter. Hvor flere personer rapporterer det samme problem, den første reproducerbare rapport, vi modtager er den, der er berettiget til enhver belønning. Senere journalister om samme emne kan stadig modtage offentlig anerkendelse, hvis de tilføjer væsentligt nye oplysninger (for eksempel en mere alvorlig påvirkning, en bedre gengivelse eller en yderligere påvirket overflade).

Allerede kendte problemer. Hvis vi allerede er opmærksomme på et problem og har det registreret internt, inden din rapport ankommer, vil vi stadig anerkende og takke dig, men det vil ikke være berettiget til en belønning. Ligesom med dubletter kan vi tilbyde offentlig anerkendelse, hvis din rapport tilføjer væsentligt nye oplysninger.

Vi er altid taknemmelige for din hjælp til at holde AhaSlides sikker.