Bezbednost je osnovni zahtev za uslugu koja će čuvati vašu poštu, kalendar, fotografije i dokumente. Na ovoj stranici opisujemo kako štitimo veb-sajt i kako da nam odgovorno prijavite ranjivost ako je otkrijete.
1. Kako štitimo veb-sajt
- Šifrovan saobraćaj: veb-sajt je dostupan samo preko HTTPS (TLS). Zaglavljem HSTS nalažemo pregledaču da ga uvek otvara šifrovano.
- Bez tuđih resursa: fontove, slike i skripte šaljemo sa sopstvenog servera. Politika bezbednosti sadržaja (Content-Security-Policy) zabranjuje pregledaču učitavanje skripti i drugih resursa sa drugih adresa, kao i izvršavanje ugrađenih skripti.
- Bezbednosna zaglavlja: veb-sajt nije moguće ugraditi u tuđe stranice (
frame-ancestors 'none'), pregledač ne pogađa vrstu sadržaja (nosniff), a adresu stranice sa koje dolazite drugim sajtovima šaljemo samo u skraćenom obliku. - Zasebna prijava: lozinke i prijave obrađivaće samo usluga za prijavu na id.oglasna-deska.cloud, koja je odvojena od aplikacija. Aplikacije lozinku nikada ne vide.
- Ojačani serveri: aplikacija radi u kontejneru bez administratorskih prava, sa sistemom datoteka samo za čitanje i bez suvišnih mogućnosti. Interfejs za nadzor nije dostupan sa interneta.
- Serveri u EU: usluga radi na serverima u Evropskoj uniji.
2. Prijava ranjivosti
Ako otkrijete ranjivost, prijavite nam je na info@oglasna-deska.si sa naslovom poruke „Bezbednost“. Možete pisati na slovenačkom ili engleskom. U poruci navedite:
- adresu stranice ili deo sistema na koji se ranjivost odnosi;
- opis ranjivosti i njenog mogućeg uticaja;
- korake kojima je možemo ponoviti i, ako je moguće, dokaz koncepta;
- kako možemo da vas kontaktiramo ako nam budu potrebna dodatna objašnjenja.
Kontakt za bezbednosne prijave objavljen je i u mašinski čitljivom obliku u datoteci /.well-known/security.txt (RFC 9116).
3. Kako postupamo sa prijavama
- Prijem prijave potvrđujemo u roku od tri radna dana.
- Prijavu procenjujemo i obaveštavamo vas o proceni i planiranim merama.
- Ranjivost otklanjamo u roku koji odgovara njenoj ozbiljnosti i obaveštavamo vas kada je otklonjena.
- Uz vašu saglasnost, posle otklanjanja ranjivosti navodimo vas kao osobu koja ju je pronašla.
4. Pravila za istraživanje u dobroj veri
Istraživanje u dobroj veri koje poštuje pravila navedena u nastavku nećemo smatrati zloupotrebom i protiv vas nećemo pokretati pravne postupke.
- Ne pristupajte podacima drugih lica, ne menjajte ih i ne brišite; ako do njih slučajno dođete, prekinite i obavestite nas o tome.
- Ne izvodite napade uskraćivanjem usluge, obimno automatsko skeniranje ni napade socijalnog inženjeringa na naše saradnike.
- Ne testirajte fizičku bezbednost ni sisteme drugih pružalaca usluga.
- Ne objavljujte pojedinosti ranjivosti dok je ne otklonimo ili dok se ne dogovorimo o objavljivanju.
5. Obuhvat
Pravila važe za veb-sajt www.oglasna-deska.cloud i uslugu za prijavu id.oglasna-deska.cloud. Za Oglasna-Deska.SI važe pravila objavljena na tom veb-sajtu. Novčane nagrade za prijavljene ranjivosti ne isplaćujemo.