Rapportera en säkerhetsbrist

Vad det här är för sajt

Det säger något om var det är värt att lägga tiden. hemarostfritt.se är statiska sidor. Det finns ingen inloggning, inget formulär, ingen databas och inga kunduppgifter lagrade här. Sidorna byggs från ett kodförråd och läggs ut som färdiga filer.

Angreppsytan är alltså liten, men den är inte noll.

Vad som omfattas

• hemarostfritt.se och dess underdomäner
• DNS-uppsättningen för domänen, inklusive posterna för e-post
• Vår e-post, alltså adresser som slutar på @hemarostfritt.se

Vad som inte omfattas

Rapporter om följande läser vi gärna, men vi kan sällan göra något åt dem, och de bör gå till den som faktiskt råder över systemet.

• Våra kunders och leverantörers system, även när vi nämns i dem
• Tjänster som drivs av tredje part, som vår hostingleverantör eller vårt analysverktyg
• Fysisk säkerhet, tillträde till verkstaden och allt som rör personal
• Överbelastningsangrepp och lasttester. Utför dem inte mot oss.
• Social manipulation av vår personal, inklusive nätfiske som prov
• Avsaknad av en rekommenderad inställning utan att du visar vad den leder till. Ett betyg i ett skanningsverktyg är inte en sårbarhet.

Så rapporterar du

Skicka ett mejl till info@hemarostfritt.se med "säkerhet" i ämnesraden, så hamnar det rätt fortare. Skriv gärna på svenska eller engelska.

Ta med det som gör att vi kan återskapa problemet: vilken adress det gäller, vad du gjorde, vad som hände och vad du hade väntat dig i stället. En skärmbild eller ett loggutdrag hjälper. Har du en uppfattning om vad bristen kan leda till, skriv den också.

Vad du kan förvänta dig av oss

• Vi bekräftar att vi tagit emot rapporten inom fem arbetsdagar.
• Vi berättar om vi bedömer den som en brist och varför om vi inte gör det.
• Vi håller dig underrättad medan vi arbetar och säger till när det är åtgärdat.
• Vi nämner dig gärna som den som hittade bristen, om du vill det. Vill du vara anonym är det lika bra.

Vad vi ber dig om

• Leta inte aktivt. Skanna, testa eller undersök inte våra system.
• Ta dig inte in i data som inte är din, och läs inte mer än vad som krävs för att visa problemet.
• Ändra ingenting, radera ingenting och stör inte driften.
• Ge oss rimlig tid att åtgärda innan du berättar om det offentligt. Nittio dagar är en vanlig och rimlig frist, och hör av dig om du behöver en annan.
• Rapportera till oss först, inte till någon annan.

Ingen ersättning, men ett tack

Vi betalar inte för rapporter. Vi är en verkstad som arbetar i rostfritt stål, inte ett teknikföretag med en budget för det, och vi tycker det är bättre att säga det rakt ut än att låta dig lägga ned arbete i tron att det finns pengar i andra änden.

Det vi kan erbjuda är ett svar från en människa, en åtgärd och ett tack. Vill du bli omnämnd gör vi det gärna.

Vad vi inte kan lova

Den här sidan är en kanal för att berätta om något du upptäckt. Den är inte en inbjudan att leta, och vi ger inget medgivande till tester av våra system.

Därför kan vi inte lova att rättsliga åtgärder uteblir. Ett sådant löfte vore inte vårt att ge när vi samtidigt ber dig avstå, och vi kan heller inte tala för tredje part vars system berörs, som den som driftar sajten åt oss.

Med det sagt har vi ingen avsikt att göra en sak av att någon hör av sig i god tro om något de råkat se. Vi vill veta, vi vill åtgärda och vi vill tacka. Men vi skriver hellre det vi kan stå för än ett löfte som ser tryggare ut än det är.