Nahlášení zranitelnosti
Napište nám na security@digismoothie.com a uveďte:
- popis problému a jeho možného dopadu,
- postup, jak ho reprodukovat (pomůže proof of concept),
- dotčenou aplikaci, URL nebo endpoint.
Přijetí hlášení se snažíme potvrdit do 5 pracovních dnů a během prošetřování a opravy vás budeme průběžně informovat.
Rozsah
Do rozsahu patří všechny aplikace pro Shopify vydané společností Digismoothie a webové stránky a backendové služby, na kterých běží.
Mimo rozsah:
- zranitelnosti samotné platformy Shopify – ty prosím hlaste prostřednictvím bug bounty programu Shopify na HackerOne,
- e-shopy na Shopify, aplikace na míru a integrace, které jako agentura vytváříme pro klienty (viz „Klientské projekty“ níže),
- útoky typu denial-of-service, zátěžové testy a spam,
- sociální inženýrství nebo phishing cílený na náš tým či naše obchodníky,
- hlášení bez prokázaného bezpečnostního dopadu (např. výstupy automatických skenerů, chybějící hlavičky, nastavení SPF/DMARC u e-mailů).
Pravidla testování
- Testujte pouze na vlastním vývojovém obchodě Shopify.
- Nepřistupujte k datům, která vám nepatří, ani je neměňte či nemažte. Pokud narazíte na data obchodníků nebo zákazníků, přestaňte a dejte nám vědět.
- Než zranitelnost zveřejníte, dejte nám přiměřený čas na její opravu.
Klientské projekty
E-shopy na Shopify, aplikace na míru a integrace, které vytváříme jako agentura, vlastní a provozují naši klienti, a proto k jejich bezpečnostnímu testování nemůžeme dát svolení. Pokud v některém z těchto projektů narazíte na zranitelnost, dál prosím netestujte, ale to, co jste zjistili, nám nahlaste na security@digismoothie.com. Opravu pak zkoordinujeme s klientem.
Poděkování
Placený bug bounty program neprovozujeme, ale odpovědných hlášení si vážíme a po vyřešení problému vás rádi veřejně uvedeme, pokud budete chtít.
Jak chráníme data obchodníků
Technická a organizační opatření, která uplatňujeme, popisuje příloha 1 naší smlouvy o zpracování osobních údajů. Jak nakládáme s osobními údaji, se dozvíte v našich zásadách ochrany osobních údajů.
Odpovědnost za bezpečnost
Bezpečnostní dotazy má na starosti Tomáš Buzek, CTO.