Meld en sårbarhed

Har I fundet en sårbarhed i sslbrain, sslbrain Cloud (EU), sslbrain.com eller FairSSL's licens- og opdateringsinfrastruktur, så skriv til security@sslbrain.com. Opret ikke offentlige issues, pull requests eller diskussioner om det.

Skriv gerne

  • den berørte version, commit, side eller det berørte API
  • hvordan det er sat op
  • hvordan fejlen genskabes, eller et proof of concept
  • hvad fejlen kan bruges til
  • logs eller skærmbilleder uden følsomme data

Svartider og offentliggørelse

Vi bekræfter modtagelsen inden for 5 arbejdsdage og giver en første vurdering inden for 30 dage.

Vi beder om mindst 90 dage fra jeres første henvendelse, før noget offentliggøres. Retter vi fejlen, aftaler vi en fælles dato for offentliggørelse. Er der gået 90 dage uden en rettelse eller et svar fra os, må I selv offentliggøre.

Rammer en sårbarhed vores kunder, står den bagefter under sikkerhedsmeddelelser.

Retslig beskyttelse

FairSSL anlægger ikke sag mod sikkerhedsforskere, der overholder alle betingelserne nedenfor. Det gælder også licensens bestemmelser om omgåelse, reverse engineering og håndhævelse (FairSSL Proprietary Source-Visible License), så længe I kun finder og melder sårbarheder.

Betingelser

  • Meld fundet til security@sslbrain.com, før det offentliggøres.
  • Giv FairSSL mindst 90 dage fra den første henvendelse til at undersøge og rette, før I offentliggør eller omtaler fundet.
  • Test kun på jeres egne installationer eller i isolerede testmiljøer, som I selv råder over.
  • Test kun så meget, som det kræver at bekræfte sårbarheden, og stop, når den er bekræftet.
  • Slet data, I er kommet til at se under testen, så snart I ikke skal bruge dem til at dokumentere fundet.

Beskyttelsen bortfalder ved

  • afpresning eller krav om betaling for at holde fundet hemmeligt
  • salg eller videregivelse af viden om sårbarheden eller exploit-kode til andre
  • offentliggørelse, før de 90 dage er gået, uden FairSSL's skriftlige samtykke
  • at hente flere data, end det kræver at vise sårbarheden
  • at gøre en tjeneste utilgængelig, langsommere eller ødelægge data hos FairSSL
  • test på andre kunders installationer eller miljøer, I ikke selv råder over
  • brug af fundet, kildekoden eller licensens undtagelse for sikkerhedsvurdering til at sammenligne med eller bygge et konkurrerende produkt

Brydes en betingelse, gælder licensens bestemmelser fuldt ud, og FairSSL kan melde forholdet til politiet.

Teksten bygger på SECURITY.md i kildekoden på github.com/sslbrain.