Beveiligings- en verantwoord openbaarmakingsbeleid
Beveiligingsverwachtingen en verantwoord rapportageproces voor kwetsbaarheden voor X2.
1. Doel
X2 verwelkomt rapporten te goeder trouw die helpen echte beveiligingsproblemen te identificeren en tegelijkertijd gebruikers, gegevens en productiesystemen te beschermen.
2. Rapportage
Beveiligingsproblemen kunnen worden gemeld aan support@x2records.com. API- of ontwikkelaarsgerelateerde beveiligingsproblemen kunnen ook worden gerapporteerd aan developer@x2records.com.
3. Onderzoek te goeder trouw
Onderzoekers moeten de impact minimaliseren, alleen toegang krijgen tot gegevens die nodig zijn om een kwetsbaarheid aan te tonen, persistentie vermijden, social engineering vermijden, privacyschendingen vermijden en stoppen met testen waar voortgezette activiteiten gebruikers of diensten kunnen schaden.
4. Verboden testen
Voer geen denial-of-service-aanvallen, destructieve tests, credential stuffing, malware-implementatie, fysieke aanvallen, spam, grootschalige automatische accountaanmaak of toegang tot gegevens uit die verder gaan dan nodig is om het probleem te verifiëren.
5. Vertrouwelijkheid
Niet-openbare kwetsbaarheden, inloggegevens, persoonlijke gegevens en vertrouwelijke service-informatie mogen niet openbaar worden gemaakt voordat X2 een redelijke kans heeft gehad om deze te onderzoeken en te verhelpen.
6. Systemen van derden
Problemen met een externe provider moeten mogelijk rechtstreeks aan die provider worden gemeld. X2 kan geen beveiligingstests autoriseren tegen systemen die het niet beheert.
7. Reactie
X2 kan de oplossing erkennen, onderzoeken, om aanvullende informatie vragen, corrigeren en communiceren op basis van de ernst, reproduceerbaarheid en getroffen systemen.
8. Geen automatische bugbounty
Dit Beleid creëert geen bug-bounty-programma en belooft geen betaling, beloning of compensatie voor rapporten, tenzij X2 een dergelijk programma uitdrukkelijk schriftelijk heeft vastgelegd.
9. Misbruik
Beveiligingsonderzoek dat wordt uitgevoerd als voorwendsel voor afpersing, ongeoorloofde toegang, gegevensdiefstal, verstoring van de dienstverlening of fraude wordt niet beschermd door dit Beleid en kan onderworpen zijn aan handhaving.