Tillit og sikkerhet

Retningslinjer for rapportering av sårbarheter

Slik tester du forsiktig, rapporterer sikkerhetsproblemer privat og samordner retting med Itemra.

Kontakt for sikkerhetsrapporter: security@itemra.io er aktiv og overvåkes av Brandsdal AS. Disse retningslinjene er utarbeidet internt og er ikke gjennomgått av ekstern juridisk rådgiver.

Rapporter et sikkerhetsproblem privat

Send en kortfattet sikkerhetsrapport til security@itemra.io. Ikke send passord, API-nøkler, økttokener, private nøkler eller unødvendige person- eller kundedata. Ta med:

berørt Itemra-opprinnelse, rute eller komponent;
en tydelig beskrivelse og sikkerhetskonsekvensen;
minimale, reproduserbare steg med kontoer og data du kontrollerer;
relevante tidspunkter og renset forespørsels-/responsdokumentasjon; og
en trygg måte å kontakte deg om retting og samordnet offentliggjøring.

Hvis sensitiv dokumentasjon er nødvendig, ber du først om en godkjent kryptert overføringsmåte. Ikke legg ved en produksjonsdatabase eller et bredt automatisk skann.

Omfang

Det planlagte omfanget er applikasjonsatferd som Itemra kontrollerer på itemra.io, docs.itemra.io, app.itemra.io og api.itemra.io etter at disse opprinnelsene er offentlig aktivert. Test bare organisasjoner, kontoer, data, API-nøkler, webhook-mottakere og filer du eier eller uttrykkelig har fått lov til å bruke.

Tredjepartstjenester og infrastruktur, inkludert WorkOS, Stripe, Resend, Azure, GitHub, DNS-/registrartjenester og deres ansatte, er utenfor denne tillatelsen. Rapporter et tredjepartsproblem etter leverandørens retningslinjer, med mindre problemet skyldes Itemras integrasjonsatferd.

Regler for sikkerhetsundersøkelser

Unngå personvernbrudd, tilgang utover egne testdata, varig tilgang til en annen brukers konto og enhver destruktiv endring.
Ikke utfør tjenestenekt, lasttesting, spam, sosial manipulering, fysisk inntrenging, skadevare, passordangrep eller brede automatiske skann.
Stopp hvis du møter data som ikke er dine. Registrer minst mulig dokumentasjon, ikke kopier dataene, og rapporter umiddelbart.
Ikke utnytt et problem utover minimumet som trengs for å vise konsekvensen.
Ikke offentliggjør et uløst problem før Itemra har fått rimelig tid til å undersøke og rette det.
Følg gjeldende lov og disse retningslinjene. De kan ikke gi tillatelse til aktivitet mot en tredjepart.

Tillatelse og undersøkelser i god tro

Brandsdal AS gir skriftlig tillatelse etter punkt 5.1(c) i tjenestevilkårene til sikkerhetsundersøkelser som holder seg innenfor omfanget og følger alle reglene for undersøkelser i disse retningslinjene. Tillatelsen omfatter ikke systemer som er unntatt, tredjepartstjenester, andre kunders data eller forbudte testmetoder. Er du usikker på om en aktivitet er omfattet, kontakt security@itemra.io før du tester.

For undersøkelser i god tro som følger disse retningslinjene, har Itemra til hensikt å behandle arbeidet som autorisert sikkerhetsforskning og ikke innlede rettslige skritt bare fordi du testet og rapporterte problemet. Hvis vi mener at aktiviteten faller utenfor retningslinjene, har vi til hensikt å kontakte deg og be deg stoppe før videre tiltak der omstendighetene tillater det.

Dette avsnittet fraskriver ikke tredjeparts rettigheter, tillater ikke tilgang til data eller systemer du ikke kontrollerer, og lover ikke immunitet mot gjeldende lov.

Forventet respons

Itemra arbeider etter beste evne mot følgende mål for respons:

bekrefte en fullstendig rapport innen tre virkedager;
gi en første vurdering av alvorlighet innen ti virkedager;
sende en statusoppdatering minst hver tiende virkedag mens retting pågår; og
avtale tidspunkt for offentliggjøring etter retting, normalt med mål om maksimalt 90 dager med mindre utnyttelsesrisiko, kundesikkerhet eller en avhengighet krever en annen plan.

Dette er mål i god tro, ikke en avtalt brukerstøtte-SLA eller et løfte om at alle rapporter er sårbarheter. Duplikater, spam, ufullstendige eller irrelevante innsendinger kan få et kortere svar.

Anerkjennelse og belønning

Itemra har foreløpig ikke et dusørprogram eller garantert offentlig anerkjennelse. Ikke pådra deg kostnader eller forvent betaling uten en egen skriftlig avtale. Eventuell frivillig kreditering avtales med rapportøren, og vi publiserer ikke navn eller rapport uten tillatelse.