Policy för rapportering av säkerhetsproblem
Ronski är en dejtingapp för gay, bi, trans och queera män. Våra medlemmar anförtror oss känslig information, så vi vill veta om säkerhetsproblem och lovar att behandla den som rapporterar i god tro rättvist.
Så rapporterar du
- Mejla adressen i vår
security.txt: <https://ronski.app/.well-known/security.txt> (filen finns också påhttps://<api host>/.well-known/security.txt). Standardkontakten ärsecurity@ronski-app.com. - Skriv gärna på engelska eller finska.
- Ta med vad du hittade, var, hur problemet kan återskapas och vilken påverkan du tror att det har. Skärmdumpar och korta exempelanrop är välkomna.
- Om du vill skicka känsliga uppgifter, fråga först i ett kort mejl så kommer vi överens om en kanal. Skriv inte in medlemsdata i mejlet.
Vad vi lovar (svarstider)
| Steg | Mål |
|---|---|
| Vi bekräftar att vi har tagit emot din rapport | inom 3 arbetsdagar |
| Första bedömning och allvarlighetsgrad | inom 7 dagar |
| Lägesuppdatering | minst var 14:e dag tills det är löst |
| Åtgärd för ett kritiskt eller allvarligt problem | så fort vi kan, med målet 30 dagar |
| Erkännande | på begäran, när problemet är åtgärdat (se nedan) |
Ronski drivs av ett mycket litet team, så det här är mål och inte garantier. Om vi är långsamma, påminn oss gärna.
Skyddad hamn
Om du agerar i god tro och följer den här policyn inleder eller stödjer vi inga rättsliga åtgärder mot dig, och vi ber varken en värdleverantör eller polisen att agera mot dig, för den forskning du beskriver i din rapport. Vi anser särskilt att följande är tillåtet:
- att testa mot ditt eget konto eller konton du skapat för ändamålet;
- att titta bara så långt som behövs för att visa problemet;
- att rapportera till oss först och ge oss rimlig tid att åtgärda innan du berättar för någon annan.
Den skyddade hamnen gäller Ronskis egna system. Den kan inte binda tredje parter (till exempel våra hosting- och infrastrukturleverantörer) och ger dig inte rätt att bryta mot lagen på sätt som saknar samband med forskningen. Om en tredje part inleder åtgärder mot dig för forskning som följt den här policyn säger vi offentligt att du agerade med vårt tillstånd.
Regler för forskare
Gör inte följande:
- få åtkomst till, kopiera, ändra eller spara andra medlemmars data. Om du av misstag når medlemsdata, sluta, läs inte mer, radera det du har och berätta för oss vad som hände;
- testa med riktiga medlemmars konton, skicka meddelanden till riktiga medlemmar eller skicka skräppost;
- köra tester för överbelastning, last eller brute force, eller använda social manipulation eller fysiska attacker mot någon;
- ladda upp eller titta på olagligt innehåll. Om du stöter på material som visar sexuella övergrepp mot barn, sluta genast och anmäl det till polisen eller till Nettivihje (<https://www.nettivihje.fi>). Berätta inte detaljerna i rapporten och ladda inte ned eller dela materialet.
Omfattning
- Ingår: Ronskis API och administrationskonsol på våra egna domäner, mobilappen Ronski och den publika webbplatsen
ronski.app. - Ingår inte: fynd som bara finns i tredjepartstjänster (Cloudflare, Oracle Cloud, Microsoft Azure, Expo, Zoho) och som ska rapporteras till de leverantörerna; saknade rekommenderade headers utan påvisad påverkan; rapporter från automatiska skannrar utan bevis på påverkan; samt sårbarheter i föråldrade appar eller enheter.
Belöning och erkännande
Vi kan inte betala belöningar. Vi kan tacka dig vid namn på en hederslista om du vill, och vi berättar när åtgärden är ute.
Vår sida
Vi håller rapporter konfidentiella, använder dina uppgifter bara för att hantera rapporten och berättar utfallet för dig. Om problemet utsatte medlemsdata för risk följer vi vårt förfarande vid personuppgiftsincidenter och underrättar dataombudsmannen och medlemmarna så som lagen kräver.
Den här sidan är maskinläsbar via security.txt (RFC 9116). Policylänken i den filen pekar hit (SECURITY_POLICY_URL).