Sårbarhetspolicy

Vårt engagemang

Vi tar våra användares och deras datas säkerhet på största allvar. Vi välkomnar rapporter från säkerhetsforskare och kommer att arbeta med dig för att snabbt förstå och lösa eventuella problem. Vi kommer inte att vidta rättsliga åtgärder mot dig för säkerhetsforskning som utförts i god tro enligt denna policy.

Omfattning

Inom omfattning

• ahaslides.com och dess underdomäner (till exempel presenter.dev.ahaslide.com och audience.ahaslides.com)
• AhaSlides webbapplikation, presentatörs- och publikappar

Ur sikte

• Denial-of-service (DoS/DDoS) och volymetriska tester eller trafiköversvämningstester
• Social ingenjörskonst av personal, användare eller entreprenörer; fysiska attacker
• Skräppost, eller resultat från automatiserade skannrar utan påvisad, exploaterbar påverkan
• Rapporter som endast påverkar webbläsare som inte stöds eller är uttjänta
• Tredjepartstjänster som vi inte kontrollerar (ta upp dessa med tredje part)
• Öppen (oautentiserad) publikåtkomst: Publikappen låter avsiktligt vem som helst delta i en presentation och skicka in svar utan ett konto eller inloggning, så att publiken kan delta fritt. Rapporter om att publikens anslutnings- eller inlämningsflöde saknar autentisering behandlas inte som sårbarheter.
• Förslag på bästa praxis utan säkerhetspåverkan (till exempel saknade rubriker utan exploit, SPF/DMARC-kritik, self-XSS, bedömningar som begränsar hastigheten). Dessa är välkomna, men behandlas inte som sårbarheter.

Regler för engagemang

Tveka inte, do:

• Rapportera så snart du hittar ett problem och ge oss rimlig tid att åtgärda det innan du offentliggör det.
• Använd endast dina egna testkonton. Stanna vid koncepttestet.

Tveka inte, returnera inte:

• Få åtkomst till, ändra, ladda ner eller radera data som inte är dina egna. För att bevisa åtkomst räcker en skärmdump eller en minimal, redigerad post, så stjäl inte verkliga användardata.
• Försämra eller avbryta våra tjänster, eller köra automatiserade attacker med hög volym.
• Offentliggör problemet innan vi har bekräftat att det är löst (se Samordnad avslöjande).

Hur man rapporterar

E-post security@ahaslides.com med:

1. En tydlig beskrivning av sårbarheten och dess påverkan.
2. Steg-för-steg-reproduktion, inklusive den berörda URL:en eller slutpunkten.
3. Konceptbevis (skärmdumpar, en kort video eller en minimal förfrågan), redigerat.
4. Ditt namn eller användarnamn för kreditering (valfritt).

Vad du kan förvänta dig av oss

• Bekräftelse inom 2 arbetsdagar.
• A triagebeslut (giltig, behöver mer information eller utanför omfattningen) inom 5 arbetsdagar.
• Regelbundna uppdateringar medan vi arbetar med en lösning, och meddelar när det är löst.
• Offentlig kredit i våra säkerhetsbekräftelser, om du vill ha det.

Samordnad avslöjande

Vi ber er att hålla informationen privat tills vi bekräftar att en åtgärd har implementerats och att ni samordnar eventuella offentliga rapporter med oss. Vårt målfönster för åtgärd är 90 DAYSOm vi ​​behöver längre tid kommer vi att berätta varför.

Erkännande

AhaSlides är ett växande företag och driver inte ett fast, publicerat belöningsprogram. Om en rapport är giltig, originell och ansvarsfullt redovisad kan vi, efter eget gottfinnande, erbjuda ett tecken på uppskattning och/eller offentlig erkännande som tack.

Duplicerade rapporter. Om flera personer rapporterar samma problem, den första reproducerbara rapporten vi får är den som är berättigad till någon belöning. Senare reportrar av samma fråga kan fortfarande få offentlig erkännande om de lägger till väsentligt ny information (till exempel en allvarligare påverkan, en bättre reproduktion eller en ytterligare påverkad yta).

Redan kända problem. Om vi ​​redan är medvetna om ett problem och har loggat det internt innan din rapport anländer, kommer vi fortfarande att bekräfta och tacka dig, men det kommer inte att vara berättigat till en belöning. Precis som med dubbletter kan vi komma att erbjuda offentlig erkännande om din rapport lägger till väsentligt ny information.

Vi är alltid tacksamma för din hjälp med att hålla AhaSlides säkert.