Polityka bezpieczeństwa i odpowiedzialnego ujawniania informacji
Oczekiwania dotyczące bezpieczeństwa i odpowiedzialny proces zgłaszania luk w zabezpieczeniach dla X2.
1. Cel
X2 przyjmuje raporty sporządzone w dobrej wierze, które pomagają zidentyfikować rzeczywiste problemy związane z bezpieczeństwem, jednocześnie chroniąc użytkowników, dane i systemy produkcyjne.
2. Raportowanie
Wątpliwości dotyczące bezpieczeństwa można zgłaszać do support@x2records.com. Problemy z interfejsem API lub bezpieczeństwem związane z programistami można również zgłaszać do developer@x2records.com.
3. Badania w dobrej wierze
Badacze powinni minimalizować wpływ, uzyskiwać dostęp tylko do danych niezbędnych do wykazania podatności, unikać uporczywości, unikać inżynierii społecznej, unikać naruszeń prywatności i przerywać testowanie, jeśli dalsze działanie mogłoby zaszkodzić użytkownikom lub usługom.
4. Zabronione testowanie
Nie wykonuj ataków typu „odmowa usługi”, testów destrukcyjnych, „upychania” poświadczeń, wdrażania złośliwego oprogramowania, ataków fizycznych, spamu, automatycznego tworzenia kont na dużą skalę ani dostępu do danych wykraczającego poza to, co jest konieczne do zweryfikowania problemu.
5. Poufność
Niepubliczne luki w zabezpieczeniach, referencje, dane osobowe i poufne informacje dotyczące usług nie powinny być ujawniane publicznie, zanim X2 nie będzie miała rozsądnej możliwości przeprowadzenia dochodzenia i podjęcia działań naprawczych.
6. Systemy stron trzecich
Może zaistnieć potrzeba zgłaszania problemów mających wpływ na zewnętrznego dostawcę bezpośrednio temu dostawcy. X2 nie może autoryzować testów bezpieczeństwa w systemach, których nie kontroluje.
7. Odpowiedź
X2 może potwierdzić, zbadać, zażądać dodatkowych informacji, zaradzić i przekazać rozwiązanie w oparciu o istotność, odtwarzalność i dotknięte systemy.
8. Brak automatycznej nagrody za błędy
Niniejsza Polityka nie tworzy programu nagród za błędy ani nie obiecuje zapłaty, nagrody lub rekompensaty za zgłoszenia, chyba że X2 wyraźnie ustanowi taki program na piśmie.
9. Nadużycie
Badania bezpieczeństwa prowadzone jako pretekst do wymuszenia, nieautoryzowanego dostępu, kradzieży danych, zakłócenia usług lub oszustwa nie są chronione niniejszą Polityką i mogą podlegać egzekwowaniu.