מדיניות אבטחה ודיווח אחראי

אבטחה היא המוצר שלנו, ולכן אנחנו שמחים לקבל דיווחים מחוקרים שמוצאים חולשה ב-HackGrade. עמוד זה מסביר איך לדווח ומה אנחנו מבטיחים בתמורה.

1. איך מדווחים

שלחו מייל אל support@hackgrade.com עם תיאור הבעיה, הצעדים לשחזור, הכתובת שנפגעה וההשפעה שלדעתכם יש לה. נא לא לצרף מידע אישי של אחרים. פרטי הקשר שלנו מפורסמים גם בפורמט קריא למכונה בכתובת ‎/.well-known/security.txt.

2. בתחום

• האתר הזה וה-API שלו: hackgrade.com (כולל www.hackgrade.com), hackgrade.185-202-223-42.sslip.io וכל דומיין שנפרסם כשלנו.
• ההתנהגות של הסורק שלנו, למשל סריקה שחורגת מהדומיין המאומת או מהמגבלות המפורסמות.

3. מחוץ לתחום

• אתרים של הלקוחות שלנו. דווחו עליהם לבעל האתר, לא לנו.
• שירותי צד שלישי שאנחנו משתמשים בהם (אחסון, תשלומים, דוא"ל). דווחו להם ישירות.
• מניעת שירות, בדיקות עומס, ספאם, הנדסה חברתית מול עובדים או משתמשים, ומתקפות פיזיות.
• דיווחים מכלים אוטומטיים בלי השפעה מוכחת, כותרות "מומלצות" חסרות בלי סיכון ממשי, ו-self-XSS.

4. כללים לבדיקה

• השתמשו רק בחשבונות שיצרתם בעצמכם, ואל תיגשו למידע של משתמשים אחרים, תשנו או תמחקו אותו. אם הגעתם בטעות למידע של מישהו אחר, עצרו, אל תשמרו אותו והודיעו לנו.
• אל תריצו דרך השירות שלנו סריקות עומק של אתרים שאינם שלכם כדי לבדוק אותו.
• שמרו על נפח בדיקות נמוך ועצרו אם אתם מבחינים בפגיעה בביצועים.
• תנו לנו זמן סביר לתקן (היעד שלנו הוא 90 יום, ומהר יותר לבעיות חמורות) לפני שאתם מפרסמים משהו, ותאמו איתנו את הפרסום.

5. ההבטחה שלנו (נמל מבטחים)

אם תפעלו בתום לב ולפי מדיניות זו, נראה במחקר שלכם מחקר מורשה, לא ננקוט נגדכם הליכים משפטיים ולא נתלונן עליכם לרשויות בגללו, ואם צד שלישי ינקוט נגדכם הליכים בגללו, נבהיר שהמחקר היה מורשה. נאשר קבלה תוך 3 ימי עסקים, נעדכן אתכם, ונזכה אתכם בקרדיט פומבי אם תרצו. כרגע איננו משלמים פרסים (bug bounty).

נמל המבטחים הזה חל רק על המערכות של HackGrade עצמה. הוא אינו יכול להתיר בדיקה של מערכות של אחרים.