Tietoturvan ilmoituskäytäntö
Ronski on treffisovellus homo-, bi-, trans- ja queer-miehille. Jäsenemme uskovat meille arkaluonteisia tietoja, joten haluamme kuulla tietoturvaongelmista ja lupaamme kohdella hyvässä uskossa ilmoittavia reilusti.
Näin ilmoitat
- Lähetä sähköpostia
security.txt-tiedostossa olevaan osoitteeseen: <https://ronski.app/.well-known/security.txt> (tiedosto löytyy myös osoitteestahttps://<api host>/.well-known/security.txt). Oletusyhteystieto on[email protected]. - Kirjoita englanniksi tai suomeksi.
- Kerro, mitä löysit, mistä, miten ongelman voi toistaa ja mitä vaikutuksia sillä mielestäsi on. Kuvakaappaukset ja lyhyet esimerkkipyynnöt ovat tervetulleita.
- Jos haluat lähettää arkaluonteisia tietoja, kysy ensin lyhyesti sähköpostilla, niin sovimme kanavasta. Älä laita jäsenten tietoja sähköpostiin.
Mitä lupaamme (vastausajat)
| Vaihe | Tavoite |
|---|---|
| Vahvistamme, että saimme ilmoituksesi | 3 arkipäivän kuluessa |
| Ensimmäinen arvio ja vakavuus | 7 päivän kuluessa |
| Tilannepäivitys | vähintään 14 päivän välein, kunnes asia on ratkaistu |
| Korjaus kriittiseen tai vakavaan ongelmaan | niin nopeasti kuin voimme, tavoitteena 30 päivää |
| Maininta | pyynnöstä, kun ongelma on korjattu (katso alla) |
Ronskia pyörittää hyvin pieni tiimi, joten nämä ovat tavoitteita, eivät takuita. Jos olemme hitaita, muistuta meitä.
Turvasatama
Jos toimit hyvässä uskossa ja noudatat tätä käytäntöä, emme aloita tai tue oikeustoimia sinua vastaan emmekä pyydä palveluntarjoajaa tai poliisia toimimaan sinua vastaan ilmoituksessasi kuvaamasi tutkimuksen vuoksi. Pidämme erityisesti seuraavia sallittuina:
- testaaminen omalla tililläsi tai tätä varten luomillasi tileillä;
- tutkiminen vain niin pitkälle kuin ongelman osoittaminen vaatii;
- ilmoittaminen ensin meille ja kohtuullisen ajan antaminen korjaukselle ennen kuin kerrot asiasta muille.
Turvasatama koskee Ronskin omia järjestelmiä. Se ei sido kolmansia osapuolia (esimerkiksi hosting- ja infrastruktuuripalveluiden tarjoajia) eikä se oikeuta rikkomaan lakia tavoilla, jotka eivät liity tutkimukseen. Jos kolmas osapuoli ryhtyy toimiin sinua vastaan tämän käytännön mukaisen tutkimuksen vuoksi, kerromme julkisesti, että toimit meidän luvallamme.
Tutkijoiden säännöt
Älä:
- avaa, kopioi, muuta tai säilytä muiden jäsenten tietoja. Jos pääset vahingossa jäsenten tietoihin, lopeta, älä lue enempää, poista saamasi tiedot ja kerro meille, mitä tapahtui;
- testaa oikeiden jäsenten tileillä, lähetä viestejä oikeille jäsenille tai lähetä roskapostia;
- tee palvelunestoon, kuormitukseen tai raakaan voimaan perustuvia testejä äläkä käytä sosiaalista manipulointia tai fyysisiä hyökkäyksiä ketään vastaan;
- lataa tai katso laitonta sisältöä. Jos törmäät lasten seksuaaliseen hyväksikäyttöön liittyvään materiaaliin, lopeta heti ja ilmoita siitä poliisille tai Nettivihjeeseen (<https://www.nettivihje.fi>). Älä kerro yksityiskohtia meille ilmoituksessa äläkä lataa tai jaa materiaalia.
Laajuus
Piirissä: Ronskin API ja hallintakonsoli omilla verkkotunnuksillamme, Ronski-mobiilisovellus ja julkinen sivusto ronski.app.
Ei piirissä: löydökset, jotka ovat vain kolmansien osapuolten palveluissa (Cloudflare, Oracle Cloud, Microsoft Azure, Expo, Zoho) ja jotka tulee ilmoittaa kyseisille palveluntarjoajille; puuttuvat hyvät käytännöt otsakkeissa ilman osoitettua vaikutusta; automaattisten skannerien raportit ilman näyttöä vaikutuksesta; sekä vanhentuneiden sovellusten ja laitteiden haavoittuvuudet.
Palkkiot ja maininta
Emme voi maksaa palkkioita. Voimme kiittää sinua nimellä kunniataulussa, jos haluat, ja kerromme sinulle, kun korjaus on julkaistu.
Meidän puolellamme
Pidämme ilmoitukset luottamuksellisina, käytämme tietojasi vain ilmoituksen käsittelyyn ja kerromme sinulle lopputuloksen. Jos ongelma vaaransi jäsenten tietoja, noudatamme tietoturvaloukkausmenettelyämme ja ilmoitamme tietosuojavaltuutetulle ja jäsenille lain edellyttämällä tavalla.
Tämä sivu on koneluettavissa security.txt-tiedoston (RFC 9116) kautta. Tiedoston käytäntölinkki osoittaa tänne (SECURITY_POLICY_URL).