Richtlinie zur Sicherheit und verantwortungsvollen Offenlegung
Sicherheitserwartungen und verantwortungsvoller Schwachstellenmeldeprozess für X2.
1. Zweck
X2 begrüßt gutgläubige Berichte, die dabei helfen, echte Sicherheitsprobleme zu erkennen und gleichzeitig Benutzer, Daten und Produktionssysteme zu schützen.
2. Berichterstattung
Sicherheitsbedenken können an support@x2records.com gemeldet werden. API- oder entwicklerbezogene Sicherheitsprobleme können auch an developer@x2records.com gemeldet werden.
3. Gutgläubige Forschung
Forscher sollten die Auswirkungen minimieren, nur auf Daten zugreifen, die zum Nachweis einer Schwachstelle erforderlich sind, Persistenz vermeiden, Social Engineering vermeiden, Datenschutzverletzungen vermeiden und Tests dort einstellen, wo fortgesetzte Aktivitäten Benutzern oder Diensten schaden könnten.
4. Verbotene Tests
Führen Sie keine Denial-of-Service-Angriffe, destruktiven Tests, Credential Stuffing, Malware-Bereitstellung, physische Angriffe, Spam, groß angelegte automatisierte Kontoerstellung oder Zugriff auf Daten durch, die über das zur Überprüfung des Problems erforderliche Maß hinausgehen.
5. Vertraulichkeit
Nicht öffentliche Schwachstellen, Anmeldeinformationen, personenbezogene Daten und vertrauliche Dienstinformationen sollten nicht öffentlich bekannt gegeben werden, bevor X2 keine angemessene Gelegenheit zur Untersuchung und Behebung hatte.
6. Systeme von Drittanbietern
Probleme, die einen Drittanbieter betreffen, müssen möglicherweise direkt diesem Anbieter gemeldet werden. X2 kann keine Sicherheitstests für Systeme autorisieren, die es nicht kontrolliert.
7. Antwort
X2 kann basierend auf Schweregrad, Reproduzierbarkeit und betroffenen Systemen bestätigen, Nachforschungen anstellen, zusätzliche Informationen anfordern, Abhilfe schaffen und Lösungen kommunizieren.
8. Keine automatische Bug-Bounty
Diese Richtlinie erstellt kein Bug-Bounty-Programm und verspricht keine Zahlung, Belohnung oder Entschädigung für Meldungen, es sei denn, X2 legt ein solches Programm ausdrücklich schriftlich fest.
9. Missbrauch
Sicherheitsforschung, die als Vorwand für Erpressung, unbefugten Zugriff, Datendiebstahl, Dienstunterbrechung oder Betrug durchgeführt wird, ist nicht durch diese Richtlinie geschützt und kann einer Durchsetzung unterliegen.