Našli ste bezpečnostnú chybu v niektorom našom produkte alebo webe? Ďakujeme, že nám ju dáte vedieť. Napíšte na security [zavináč] regino.sk (slovensky, česky alebo anglicky).
Čo poslať
- produkt a verziu (alebo adresu webu),
- popis chyby a jej dopad,
- postup, ako ju zopakovať (kroky, požiadavky, ukážka kódu, snímky),
- či o chybe vie niekto ďalší alebo či je už zneužívaná,
- ako vás máme uviesť pri poďakovaní (alebo že nechcete byť uvedený).
Čo môžete čakať
- Potvrdenie prijatia: do 3 pracovných dní.
- Prvé posúdenie (či ide o zraniteľnosť a aká je závažná): do 10 pracovných dní.
- Oprava: kritické a vysoké čo najskôr, cieľ do 30 dní; ostatné do 90 dní. O priebehu vás informujeme.
- Zverejnenie: koordinovane – po vydaní opravy, najneskôr 90 dní od nahlásenia, ak sa nedohodneme inak.
Pravidlá
- Testujte len na vlastných účtoch a dátach. Nečítajte, nemeňte ani nemažte cudzie údaje.
- Žiadne útoky na dostupnosť (DoS), spam, sociálne inžinierstvo ani fyzické útoky.
- Kto koná v dobrej viere a podľa týchto pravidiel, proti tomu nepodnikneme právne kroky.
- Odmeny (bug bounty) neponúkame. Výstupy automatických skenerov bez dôkazu dopadu neriešime.
Rozsah
Weby a služby regino (regino.sk, ziacik.eu, api.ziacik.eu, dovernik.eu, gazduj.eu, ifakturatik.regino.sk a ich subdomény) a naše produkty, napr. iFakturatik, Fakturatik a Žiačik. Klasické programy na stiahnutie (DysPro, Testík, Žiačik 3.1) sa už nevyvíjajú – nahlásenie prijmeme, opravu ale sľúbiť nevieme.
In English
Please report security vulnerabilities in regino products and websites to security [zavináč] regino.sk (English is fine). Include the product and version or URL, a description and impact, steps to reproduce, and whether the issue is known to others or actively exploited.
We acknowledge reports within 3 working days, give a first assessment within 10 working days and aim to fix critical and high issues within 30 days, others within 90 days. We practise coordinated disclosure: please wait for the fix, at most 90 days from your report unless agreed otherwise. Test only against your own accounts and data, no denial of service or social engineering. We will not pursue legal action against good-faith research that follows these rules. No bug bounty.
Kontakt aj v /.well-known/security.txt.
← Späť na regino.sk