Policy för ansvarsfullt röjande

Omfattning

Policyn gäller sårbarheter i webbplatsen ravnsec.com själv — inte i tredjepartstjänster vi länkar till, och inte i kundsystem vi testar åt någon annan. Vi tar bara emot rapporter om vår egen infrastruktur.

Vad som är okej att testa

Rapportera gärna sårbarheter du hittat genom passiv observation eller testning som inte stör andra besökare eller vår drift: felaktig konfiguration, informationsläckage, autentiserings- eller behörighetsbrister och liknande.

• Undvik allt som kan påverka andra besökare eller vår tillgänglighet — inga överbelastningsattacker (DoS/DDoS), ingen massiv automatiserad skanning.
• Kom inte åt, ändra eller radera data som inte är din egen. Kan du visa en sårbarhet med ett minimalt testfall, gör det.
• Testa inte social manipulation (nätfiske, vishing) mot vår personal.
• Bryt inte mot lagen i övrigt — det här är inte ett tillstånd att göra vad som helst.

Safe harbour

Håller du dig inom den här policyn ser vi din testning som auktoriserad enligt användarvillkoren, och vi kommer inte att inleda rättsliga åtgärder mot dig för den. Det gäller god tro: upptäck, rapportera, sluta testa när du hittat något — inte fortsätt gräva efter att en sårbarhet är bekräftad.

Hur du rapporterar

Mejla hi@ravnsec.com med vad du hittat, hur vi kan återskapa det och vilken påverkan du bedömer att det har. Skicka gärna en krypterad rapport om innehållet är känsligt — hör av dig så löser vi det.

Vad du kan förvänta dig

Vi bekräftar mottagandet inom fem arbetsdagar, och återkopplar med vår bedömning och en tidsplan för åtgärd så snart vi kan. Vi håller dig informerad tills ärendet är stängt.

Ersättning

Vi driver inget bug bounty-program och betalar ingen ersättning för rapporter. Vi tackar dig gärna offentligt om du vill det, och håller dig annars anonym.