Den här sidan är en översättning som tillhandahålls som service. Om den avviker från den engelska versionen gäller den engelska versionen. Läs den engelska versionen
Ansvarsfullt röjande av sårbarheter
Har du hittat ett säkerhetsproblem? Berätta för oss innan någon annan får lära sig det den hårda vägen.
Vi tar rapporter från externa forskare på allvar och hör hellre av dig direkt än hittar en genomgång i efterhand. Den här sidan beskriver vad som ingår, hur du rapporterar och vad du kan förvänta dig i retur.
Omfattning
Vad den här policyn omfattar.
Inom omfattningen
- myshieldid.com och dess amerikanska sidor på myshieldid.com/us, vidarebefordringsdomänerna shieldid.ca och myshieldid.ca samt deras underdomäner, inklusive marknadsföringssajten, verifieringsflödet och kontoportalen
- Det publika API:et för ShieldID
- Autentisering, sessionshantering och åtkomstkontroll i alla system som drivs av ShieldID
Ingår inte
- Produkter och sajter som vi inte driver, även om de använder ShieldID (RentKey, Crown Ledger och Trust Ledger har egna säkerhetskontakter)
- Tredjepartstjänster som vi integrerar med, om inte problemet ligger i hur vi använder dem
Så här rapporterar du
Skicka e-post till oss. Skapa inget offentligt ärende och publicera inget först.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Ta med:
- Typ av problem samt berörd URL, endpoint eller berört system
- Steg för att återskapa problemet, eller ett proof of concept
- Vad du kunde komma åt eller uppnå, och hur du bekräftade det
- Eventuella verktyg eller skript som använts, så att vi kan återskapa dina steg exakt
Vad vi lovar
Ett bekräftelsesvar, en genuin granskning och inga juridiska påföljder för forskning i god tro.
Bekräftelse
Vi strävar efter att bekräfta en giltig rapport inom tre arbetsdagar efter att vi tagit emot den. Det är ett mål som vi anger offentligt, inte ett uppmätt genomsnitt.
En genuin utredning
Varje rapport granskas av någon som kan agera på den, inte filtreras av ett formulär som inte leder någonstans.
Ingen rättslig åtgärd för forskning i god tro
Om du hittar och rapporterar en sårbarhet i god tro, inom den här policyns omfattning och utan att komma åt, ändra eller exfiltrera data utöver vad som krävs för att visa problemet, vidtar vi ingen rättslig åtgärd mot dig för den forskningen.
Ingen bug bounty i dagsläget
Vi har för närvarande inget betalt bug bounty-program. Vi lovar inte en belöning som vi inte kan stå för, men vi lovar att läsa och agera på det du skickar oss.
Ingår inte
Gör inte något av följande som en del av en rapport.
- Social engineering mot vår personal, våra underleverantörer eller kunder
- Fysiska försök att komma åt våra kontor eller vår infrastruktur
- Tester av överbelastningsattacker, eller något som försämrar tjänsten för riktiga sökande
- Automatiserad skanning i en omfattning som kan påverka andra användare, utan att fråga oss först
- Att komma åt, ändra eller radera en annan persons data utöver vad som är nödvändigt för att visa ett problem
- Skräppost, nätfiske eller varje försök att testa vår personals eget omdöme snarare än systemet
Safe harbour-skydd
Forskning som utförs i god tro och inom denna policy är välkommen.
Vi betraktar säkerhetsforskning som bedrivs i enlighet med den här policyn som auktoriserad, och vi inleder ingen rättslig åtgärd för sådan forskning. Detta är allmänt formulerat safe harbour-skydd och ersätter inte juridisk rådgivning för din specifika situation – om du är osäker på om något ingår, fråga oss innan du testar.
Frågor
Raka svar om att rapportera en sårbarhet.
Redo att rapportera?
Email [email protected] with what you found.
Ta med steg för att återskapa problemet och vad du kunde komma åt. Vi tar det därifrån.