Bezpieczeństwo w Shipcue
Jak zgłosić podatność i czego możesz od nas oczekiwać.
Wersja robocza. Ta polityka może się jeszcze zmienić przed premierą Shipcue. Ostatnia aktualizacja: .
Zgłaszanie podatności
Napisz na security@shipcue.app. Podaj:
- co zostało znalezione i gdzie (wersja aplikacji, endpoint lub ekran),
- kroki odtworzenia,
- jakiego wpływu się spodziewasz.
Nigdy nie wysyłaj kluczy API (plików .p8), tokenów ani innych sekretów, nawet własnych. Zamaż je na zrzutach ekranu i w logach.
Co obiecujemy
- Odpowiadamy w ciągu 5 dni roboczych.
- Informujemy cię o postępach w naprawie i dajemy znać, gdy problem zostanie naprawiony.
- Jeśli chcesz, wspomnimy o tobie, gdy ogłosimy poprawkę.
- Nie podejmiemy kroków prawnych wobec badań prowadzonych w dobrej wierze i zgodnie z tą polityką.
Prosimy
- Testuj wyłącznie na własnych kontach, kluczach i aplikacjach.
- Nie uzyskuj dostępu do cudzych danych, nie zmieniaj ich ani nie usuwaj. Jeśli dotrzesz do nich przypadkiem, przerwij i daj nam znać.
- Nie przeprowadzaj testów typu denial-of-service, nie wysyłaj spamu ani nie stosuj socjotechniki wobec nas lub naszych użytkowników.
- Daj nam rozsądny czas na naprawę, zanim opublikujesz informacje o problemie (proponujemy 90 dni).
W zakresie
- Aplikacja Shipcue na iPhone'a i iPada
- Endpointy naszego serwera pod shipcue.app
Usługi Apple (App Store Connect, APNs) i RevenueCat są poza zakresem; problemy z nimi zgłaszaj tym firmom.
Phishing
Shipcue nigdy nie prosi w powiadomieniu o klucz API, hasło ani login, a nasze powiadomienia nie zawierają zewnętrznych linków. Jeśli dostaniesz takie, które je zawiera, prześlij je na security@shipcue.app.