Bezpieczeństwo

PDN tworzy oprogramowanie dla branż regulowanych i sieci dla budynków, a własny serwis utrzymuje według tych samych standardów. Zgłoszenia od badaczy bezpieczeństwa są mile widziane, a każde wiarygodne zgłoszenie jest traktowane poważnie.

Należy skorzystać z formularza wiadomości, wybierając jako temat zgłoszenie problemu bezpieczeństwa. Zgłoszenie powinno zawierać:

• adres URL lub element, którego dotyczy problem;
• opis podatności i jej możliwych skutków;
• kroki pozwalające ją odtworzyć albo proof of concept;
• dane kontaktowe oraz informację, czy osoba zgłaszająca chce zostać wymieniona przy ujawnieniu problemu.

Zgłoszenie nie powinno zawierać więcej danych osobowych ani wyników wykorzystania podatności, niż to konieczne. Można też najpierw przesłać krótki opis, a szczegóły przekazać bezpieczniejszym kanałem uzgodnionym z PDN. Jeżeli skorzystanie z formularza nie jest możliwe, można napisać listownie na adres podany na stronie Dane spółki.

Polityka obejmuje wyłącznie domeny developernetwork.pl i www.developernetwork.pl.

Systemy, sieci i budynki klientów PDN nie są objęte tą polityką. Dotyczy to również oprogramowania tworzonego lub utrzymywanego przez PDN dla klientów oraz obsługiwanych przez nią instalacji UniFi i KNX. PDN nie może nikogo upoważnić do ich testowania – zgody może udzielić wyłącznie ich właściciel. PDN nie ujawnia też, kim są jej klienci. Problemy w systemach innych organizacji należy zgłaszać bezpośrednio tym organizacjom.

• ataki typu odmowa usługi (DoS, DDoS);
• socjotechnika, w tym phishing, wobec osób pracujących dla PDN lub jej klientów;
• ataki fizyczne na pomieszczenia, sprzęt lub osoby;
• spam oraz masowe lub zautomatyzowane nadużywanie formularzy kontaktowych;
• wyniki automatycznych skanerów bez wykazanego realnego wpływu;
• podatności w usługach samego Cloudflare – należy je zgłaszać bezpośrednio do Cloudflare.

• Nie należy uzyskiwać dostępu do danych ani ich zmieniać w zakresie większym, niż jest to konieczne do wykazania problemu; dane uzyskane w ten sposób należy usunąć po wysłaniu zgłoszenia.
• Nie należy zakłócać działania serwisu ani pogarszać jego dostępności dla innych.
• Podatności nie wolno wykorzystywać w celu innym niż jej wykazanie.
• Przed publicznym ujawnieniem problemu należy dać PDN rozsądny czas na jego usunięcie: 90 dni od zgłoszenia, chyba że strony uzgodnią inaczej.
• Należy przestrzegać przepisów prawa.

• PDN potwierdzi otrzymanie zgłoszenia w ciągu 5 dni roboczych.
• PDN będzie informować osobę zgłaszającą o postępach w analizie i usuwaniu problemu oraz o jego rozwiązaniu.
• Za zgodą osoby zgłaszającej PDN wymieni ją przy ujawnieniu problemu.

PDN nie prowadzi programu bug bounty i nie wypłaca wynagrodzenia za zgłoszenia.

Badania prowadzone w dobrej wierze i zgodnie z tą polityką PDN uznaje za autoryzowane i nie podejmie z ich powodu kroków prawnych wobec osoby zgłaszającej ani nie zawiadomi organów ścigania. Ochrona dotyczy wyłącznie domen developernetwork.pl i www.developernetwork.pl; PDN nie może udzielić zgody na testowanie cudzych systemów. W razie wątpliwości, czy dane działanie jest dozwolone, warto zapytać wcześniej przez formularz wiadomości.

Dane kontaktowe do zgłaszania problemów bezpieczeństwa są także opublikowane w formie do odczytu maszynowego w pliku /.well-known/security.txt, zgodnie z RFC 9116.