Varnost je pri storitvi, ki bo hranila vašo pošto, koledar, slike in dokumente, osnovna zahteva. Na tej strani opisujemo, kako varujemo spletno mesto, in kako nam odgovorno sporočite ranljivost, če jo odkrijete.
1. Kako varujemo spletno mesto
- Šifriran promet: spletno mesto je dosegljivo samo prek HTTPS (TLS). Brskalniku z glavo HSTS naročimo, naj ga vedno odpre šifrirano.
- Brez tujih virov: pisave, slike in skripte pošiljamo z lastnega strežnika. Varnostna politika vsebin (Content-Security-Policy) brskalniku prepove nalaganje skript in drugih virov z drugih naslovov ter izvajanje vgrajenih skript.
- Varnostne glave: spletno mesto se ne da vgraditi v tuje strani (
frame-ancestors 'none'), brskalnik ne ugiba vrste vsebine (nosniff), naslov strani, s katere prihajate, pa drugim mestom pošljemo le v skrajšani obliki. - Ločena prijava: gesla in prijave bo obdelovala samo prijavna storitev na id.oglasna-deska.cloud, ki je ločena od aplikacij. Aplikacije gesla nikoli ne vidijo.
- Utrjeni strežniki: aplikacija teče v vsebniku brez skrbniških pravic, z datotečnim sistemom samo za branje in brez odvečnih zmožnosti. Nadzorni vmesnik ni dosegljiv z interneta.
- Strežniki v EU: storitev teče na strežnikih v Evropski uniji.
2. Prijava ranljivosti
Če odkrijete ranljivost, nam jo sporočite na info@oglasna-deska.si z zadevo »Varnost«. Pišete lahko v slovenščini ali angleščini. V sporočilu navedite:
- naslov strani ali del sistema, ki ga ranljivost zadeva;
- opis ranljivosti in njenega možnega vpliva;
- korake, s katerimi jo ponovimo, in po možnosti dokaz koncepta;
- kako vas lahko kontaktiramo, če potrebujemo dodatna pojasnila.
Kontakt za varnostne prijave je objavljen tudi v strojno berljivi obliki v datoteki /.well-known/security.txt (RFC 9116).
3. Kako obravnavamo prijave
- Prejem prijave potrdimo v treh delovnih dneh.
- Prijavo ocenimo in vas obvestimo o oceni in načrtovanem ukrepanju.
- Ranljivost odpravimo v roku, ki ustreza njeni resnosti, in vas obvestimo, ko je odpravljena.
- Z vašim soglasjem vas po odpravi ranljivosti navedemo kot najditelja.
4. Pravila za raziskovanje v dobri veri
Raziskovanja v dobri veri, ki upošteva spodnja pravila, ne bomo obravnavali kot zlorabe in zoper vas ne bomo sprožili pravnih postopkov.
- Ne dostopajte do podatkov drugih oseb, jih ne spreminjajte in ne brišite; če do njih po naključju pridete, prenehajte in nam to sporočite.
- Ne izvajajte napadov za zavrnitev storitve, obsežnega samodejnega pregledovanja ali napadov socialnega inženiringa na naše sodelavce.
- Ne preizkušajte fizične varnosti in sistemov drugih ponudnikov.
- Podrobnosti ranljivosti ne objavite, dokler je ne odpravimo ali dokler se o objavi ne dogovorimo.
5. Obseg
Pravila veljajo za spletno mesto www.oglasna-deska.cloud in prijavno storitev id.oglasna-deska.cloud. Za Oglasna-Deska.SI veljajo pravila, objavljena na tem spletnem mestu. Denarnih nagrad za prijavljene ranljivosti ne izplačujemo.