1. Rapportera en sårbarhet
Om du upptäcker en säkerhetssårbarhet, mejla security@aukilo.com (eller contact@aukilo.com med "[SECURITY]" i ämnesraden).
Vi bekräftar mottagandet inom 72 arbetstimmar och håller dig uppdaterad om processen.
För att snabba upp triage, ange om möjligt:
- en tydlig beskrivning av sårbarheten och dess påverkan;
- stegen för att reproducera den;
- appversionen eller berörd URL;
- ditt alias om du vill omnämnas.
2. Omfattning
Denna policy omfattar:
- webbplatsen och underdomäner till aukilo.com, inklusive webbappen app.aukilo.com;
- mobilappen Aukilo (iOS och Android);
- Supabase Edge Functions distribuerade i det officiella projektet.
3. Utanför omfattningen
Följande omfattas inte och är inte kvalificerade för ansvarsfull rapportering:
- denial-of-service-attacker (DOS / DDoS);
- nätfiske och social manipulering mot teamet eller användare;
- massivt scraping eller försök att kringgå kvoter;
- redan kända sårbarheter eller sådana under åtgärd;
- tredjepartstjänster (Vercel, Supabase, Firebase, Google) — rapportera dem direkt till leverantören;
- gamla e-postadresser eller parkerade domäner.
4. Vårt åtagande
Om du följer reglerna i denna policy:
- kommer vi inte att vidta rättsliga åtgärder mot dig;
- samarbetar vi med dig för att bekräfta och åtgärda;
- tackar vi dig offentligt (med ditt samtycke) när fixen är utrullad;
- publicerar vi vid behov en anonym post-mortem.
Aukilo driver (ännu) inte ett betalt bug bounty-program. Erkännandet är symboliskt.
5. Regler att följa
För att omfattas av vårt åtagande, vänligen:
- kom inte åt eller ändra användardata utan samtycke;
- försämra inte tjänsten och avbryt inte dess drift;
- avslöja inte sårbarheten offentligt innan vi har åtgärdat den;
- utnyttja inte sårbarheten utöver ett minimalt proof of concept.
6. Användardata
Aukilo behandlar personuppgifter enligt GDPR och vår integritetspolicy. Om en sårbarhet exponerar personuppgifter tillämpar vi de anmälningsskyldigheter som krävs enligt lag (CNIL, berörda användare).
7. Kontakt
För frågor om denna policy: security@aukilo.com.
PGP-nyckel tillgänglig på begäran för känsliga rapporter.