Bezpieczeństwo danych drukarń jest dla nas priorytetem. Jeśli znajdziesz podatność w Prynt, w API albo w tej dokumentacji, zgłoś ją nam, zanim powiesz o niej komukolwiek innemu.
Zgłoś podatność
Dział zatytułowany „Zgłoś podatność”Napisz na [email protected] z tematem zaczynającym się od Bezpieczeństwo:. Podaj:
- czego dotyczy podatność i jaki może mieć skutek;
- kroki, które pozwolą ją odtworzyć, z adresami i
requestId, jeśli je masz; - jak możemy się z Tobą skontaktować.
Nie dołączaj kluczy API, haseł ani danych osobowych, do których udało Ci się dotrzeć. Opis wystarczy, żebyśmy je znaleźli.
Potwierdzimy otrzymanie zgłoszenia, będziemy informować o postępie i uzgodnimy z Tobą moment publikacji szczegółów. Prosimy, nie publikuj ich, dopóki poprawka nie trafi do wszystkich drukarni.
Dane kontaktowe w formacie RFC 9116 są pod adresem /.well-known/security.txt.
Testy w dobrej wierze
Dział zatytułowany „Testy w dobrej wierze”Szanujemy pracę osób, które pomagają nam znajdować błędy. Prosimy o przestrzeganie zasad:
- testuj wyłącznie na instalacji i integracji, do której masz zgodę jej właściciela;
- nie sięgaj po dane innych drukarń ani osób; jeśli trafisz na nie przypadkiem, przerwij test, nie kopiuj ich i opisz to w zgłoszeniu;
- nie zmieniaj ani nie usuwaj cudzych danych;
- nie wykonuj testów obciążeniowych ani ataków na dostępność, nie wysyłaj spamu;
- nie stosuj socjotechniki wobec pracowników Prynt ani drukarń.
Lista kontrolna integracji
Dział zatytułowany „Lista kontrolna integracji”- Klucz API jest tylko na serwerze, w menedżerze sekretów albo zmiennej środowiskowej.
- Logi i raporty błędów nie zawierają nagłówka
Authorization. - Skaner sekretów zna wzorzec klucza Prynt.
- Integracja ma tylko te zakresy, których potrzebuje.
- Wiesz, kto u Ciebie unieważnia klucz po wycieku i jak szybko może to zrobić.
- Dane osobowe z API przechowujesz tylko tak długo, jak wymaga cel integracji.
- Rotacja klucza jest zaplanowana przed datą jego ważności.