1. Zgłaszanie luki
Jeśli znajdziesz lukę bezpieczeństwa, napisz na security@aukilo.com (lub na contact@aukilo.com z tematem „[SECURITY]").
Potwierdzamy odbiór w ciągu 72 godzin roboczych i informujemy o postępach.
Aby przyspieszyć segregację, podaj w miarę możliwości:
- jasny opis luki i jej wpływu;
- kroki reprodukcji;
- wersję aplikacji lub dotknięty adres URL;
- swój pseudonim, jeśli chcą Państwo zostać wymienieni.
2. Zakres
Ta polityka obejmuje:
- stronę i subdomeny aukilo.com, w tym aplikację webową app.aukilo.com;
- aplikację mobilną Aukilo (iOS i Android);
- funkcje Supabase Edge wdrożone w oficjalnym projekcie.
3. Poza zakresem
Następujące elementy nie są objęte i nie kwalifikują się do odpowiedzialnego ujawniania:
- ataki typu odmowa usługi (DOS / DDoS);
- phishing i inżynieria społeczna wobec zespołu lub użytkowników;
- masowy scraping lub próby obejścia kwot;
- luki już znane lub w trakcie naprawy;
- usługi stron trzecich (Vercel, Supabase, Firebase, Google) — zgłaszaj je bezpośrednio dostawcy;
- stare adresy e-mail lub zaparkowane domeny.
4. Nasze zobowiązanie
Jeśli przestrzegasz zasad tej polityki:
- nie podejmiemy działań prawnych przeciwko Państwu;
- będziemy z tobą współpracować przy potwierdzeniu i naprawie;
- publicznie podziękujemy (za Państwa zgodą) po wdrożeniu poprawki;
- w razie potrzeby opublikujemy anonimowy post-mortem.
Aukilo (jeszcze) nie prowadzi płatnego programu bug bounty. Uznanie jest symboliczne.
5. Zasady do przestrzegania
Aby skorzystać z naszego zobowiązania, prosimy:
- nie uzyskuj dostępu ani nie modyfikuj danych użytkowników bez ich zgody;
- nie pogarszaj usługi ani nie zakłócaj jej działania;
- nie ujawniaj publicznie luki, zanim ją naprawimy;
- nie wykorzystuj luki poza minimalnym proof of concept.
6. Dane użytkowników
Aukilo przetwarza dane osobowe zgodnie z RODO i naszą polityką prywatności. Jeśli luka ujawni dane osobowe, zastosujemy obowiązki notyfikacyjne wynikające z prawa (CNIL, dotknięci użytkownicy).
7. Kontakt
Pytania dotyczące tej polityki: security@aukilo.com.
Klucz PGP dostępny na żądanie dla zgłoszeń wrażliwych.