Bezpieczeństwo i zgłaszanie podatności

Poważnie traktujemy bezpieczeństwo payed.me i danych naszych użytkowników. Jeśli uważasz, że znalazłeś podatność, chcemy o niej usłyszeć.

Jak zgłosić

Napisz na support@payed.me z tematem „Security”. Podaj w wiadomości:

• adres URL lub funkcję, której dotyczy problem;
• jasne kroki pozwalające odtworzyć problem;
• co atakujący mógłby faktycznie osiągnąć, wraz z dowodami.

Staramy się potwierdzać zasadne zgłoszenia w ciągu 5 dni roboczych i informujemy Cię na bieżąco o postępach naprawy.

Zasady badań w dobrej wierze

• Testuj wyłącznie na kontach, które należą do Ciebie lub do których masz uprawnienia.
• Nie przeglądaj, nie zmieniaj i nie usuwaj danych innych użytkowników. Jeśli trafisz na nie przypadkiem, przerwij i daj nam znać.
• Nie przeprowadzaj ataków odmowy usługi, spamu ani socjotechnicznych i nie testuj zabezpieczeń fizycznych.
• Daj nam rozsądny czas na naprawę, zanim ujawnisz problem publicznie.

Jeśli przestrzegasz tych zasad, nie podejmiemy wobec Ciebie kroków prawnych w związku z Twoimi badaniami.

Bug bounty

Nie prowadzimy płatnego programu bug bounty i nie płacimy za zgłoszenia, o które nie prosiliśmy.Jesteśmy wdzięczni za odpowiedzialne ujawnianie, ale żądania zapłaty ani wstrzymywanie szczegółów do czasu uzgodnienia wynagrodzenia nie zmienią sposobu, w jaki obsługujemy zgłoszenie.

Poza zakresem

Następujących kwestii nie traktujemy same w sobie jako podatności:

• raporty z automatycznych skanerów bez wykazanego, możliwego do wykorzystania wpływu;
• clickjacking na stronach bez wrażliwych działań lub brak nagłówków zalecanych jako dobra praktyka;
• konfiguracja poczty (SPF, DKIM, DMARC) i podszywanie się pod nadawcę e-maili;
• problemy wymagające przejętego urządzenia, fizycznego dostępu lub nieaktualnej przeglądarki;
• limity zapytań lub ataki siłowe na punkty końcowe niezwiązane z uwierzytelnianiem;
• ujawnianie wersji oprogramowania lub opisowe komunikaty błędów;
• podatności w usługach zewnętrznych, z których korzystamy, takich jak Stripe.