Startselects policy för ansvarsfullt offentliggörande

Har du hittat en säkerhetsbrist på Startselect?
Vänligen informera oss innan omvärlden får reda på det så att vi kan vidta åtgärder först. Att göra det kallas för "ansvarsfullt offentliggörande”.

Vad man göra:
Rapporterar säkerhetsproblem via e-post till security@startselect.com. Denna e-post används enbart för rapportering av säkerhetsbrister.
För kundsupport gå till: https://startselect.com/help 

Ge tillräckligt med detaljerade uppgifter för att vi ska kunna återskapa felet så att det kan åtgärdas snarast möjligt. Vanligtvis är datorns IP-adress eller URL och en beskrivning av felet tillräckligt. Ju mer komplicerat felet är desto mer detaljer behöver vi.
Lämnar dina kontaktuppgifter så vi kan kontakta dig senare. Åtminstone en e-postadress eller ett telefonnummer.
Rapportera felet så snart som möjligt efter att du upptäckt det.
Dela inte med dig av information om felet till andra förrän det har åtgärdats.
Hantera informationen du har i din ägo på ett ansvarsfullt sätt. Gör inget utöver det nödvändiga för att påvisa säkerhetsproblemet.

Vad ska man inte göra:
Skicka skadlig kod;
Kopiera, ändra eller radera data i det berörda systemet (alternativt kan du skapa en kataloglista av systemet);
Ändra systemet;
Besöka systemet upprepade gånger eller dela tillträde med andra;
Använda "råstyrka" för att öppna systemet;
Försöka denial-of-service eller social manipulation.
Använda automatiserade skannare eller andra automatiserade verktyg

Vad du kan förvänta dig:
När du rapporterar säkerhetsbristen, försäkra dig om att du uppfyller ovanstående villkor. Om du gör det kommer Startselect inte att koppla rättsliga konsekvenser till ditt anmälan.
Startselect behandlar de meddelande som kommer in konfidentiellt. Företaget kommer inte att dela din personlig information med tredje part utan din tillåtelse, såvida detta inte krävs av lag eller ett domstolsbeslut.
Startselect kan, om du vill, nämna dig som den som upptäckte säkerhetsbristen.
Startselect kommer skicka en bekräftelse på mottagande inom tre arbetsdagar.
Startselect kommer svara på din anmälan inom tre arbetsdagar. Svaret kommer innehålla en bedömning av din anmälan samt det datum då bristen beräknas vara åtgärdad.
Startselect kommer hålla dig, som den som upptäckte bristen, informerad om utvecklingen av hur den åtgärdas.
Startselect kommer åtgärda bristen så snart som möjligt, inte senare än 60 dagar efter det att meddelandet mottagits. Startselect kommer arbeta med dig för att avgöra om, och hur i så fall, den rapporterade bristen ska offentliggöras. Den kommer inte offentliggöras förrän efter den har åtgärdats.
Startselect kan ge dig en belöning som ett tack för din hjälp. Beroende på hur allvarlig bristen är och kvaliteten på rapporten kan belöningen variera. En belöning beviljas uteslutande av Startselect.

Brister som ej omfattas:
Social manipulation, inklusive den som riktas mot interna medarbetare
Attacker där lånad eller förfalskad e-post används
Fysiska attacker mot infrastruktur, anläggningar och kontor
Skannerutdata eller skannergenerade rapporter, inklusive automatiserade eller aktiva verktyg för exploatering
Brister som erhållits genom att kompromettera ett medarbetarkonto
Nätverksbrister:
Kontoövertagande (PLA, enumerering av användare osv)
Skräppost
Clickjacking, inloggning/utloggning CSRF
Fingeravtrycksattacker, avslöjande via felmeddelande
Attacker på protokollnivå (t ex BEAST/BREACH)
Avsaknad av säkerhetsrubriker, httponly-flaggor osv

Senast uppdaterad: 16 maj 2022