Polityka zgłaszania podatności

Wersja 2026-10-12

Chcemy wiedzieć o problemach z bezpieczeństwem w SnagBane. Jeśli uważasz, że znalazłeś taki problem, najpierw poinformuj nas o nim poufnie, abyśmy mogli go naprawić, zanim stanie się publiczny.

Jak zgłosić

Napisz na support@snagbane.com z „Security” w temacie. Podaj:

  • wersję i edycję SnagBane (obie pokazuje sekcja Ustawienia → System i aktualizacje) oraz sposób instalacji (Docker, VPS, cPanel);
  • co może zrobić atakujący oraz kroki lub krótki proof of concept pozwalające to odtworzyć;
  • czy wymaga to konta, a jeśli tak – z jaką rolą;
  • jak chcesz zostać wymieniony w podziękowaniach, jeśli w ogóle.

Prosimy nie otwierać publicznego zgłoszenia ani nie publikować szczegółów, zanim poprawka będzie dostępna. Dane kontaktowe w formacie maszynowym są w /.well-known/security.txt.

Do czego się zobowiązujemy

  • Odpowiadamy w ciągu 5 dni roboczych, potwierdzając otrzymanie zgłoszenia.
  • Informujemy Cię o postępach co najmniej co 14 dni, aż problem zostanie rozwiązany.
  • Dążymy do wydania poprawki potwierdzonych krytycznych problemów w ciągu 7 dni, a poważnych w ciągu 30 dni, szybciej, jeśli są aktywnie wykorzystywane.
  • Opisujemy poprawkę w informacjach o wydaniu aktualizacji i – jeśli chcesz – wymieniamy Cię tam.
  • Termin publikacji szczegółów uzgadniamy z Tobą – po wydaniu poprawki lub 90 dni po zgłoszeniu, jeśli do tego czasu jej nie wydamy, chyba że uzgodnimy inaczej.

Nie prowadzimy płatnego programu bug bounty.

Zakres

W zakresie: oprogramowanie SnagBane (bezpłatny i płatne pakiety, najnowsza wersja), strona snagbane.com oraz usługi aktualizacji i licencji SnagBane.

Poza zakresem: instalacje SnagBane innych organizacji – zgłoś je organizacji, która je prowadzi; problemy wymagające przejętego serwera lub konta administratora; brakujące zabezpieczenia, które kontroluje administrator (na przykład wyłączone ustawienie); ataki typu denial of service i testy obciążeniowe; socjotechnika; oraz usługi firm trzecich, takie jak Microsoft 365, Google, Freemius czy Cloudflare.

Testy w dobrej wierze

Testuj na własnej instalacji – kod serwera SnagBane jest dostarczany w czytelnej postaci, abyś mógł go przejrzeć i przetestować pod kątem bezpieczeństwa (umowa licencyjna, punkt 2.3). Na naszej stronie i w naszych usługach używaj tylko własnych kont i zwykłej liczby żądań; nie uzyskuj dostępu do cudzych danych, nie zmieniaj ich ani nie zachowuj, a gdy je zobaczysz – przerwij i zgłoś. Nie podejmiemy kroków prawnych wobec badań prowadzonych w dobrej wierze zgodnie z tą polityką.

Po aktualizacji

Poprawki bezpieczeństwa są wydawane jako zwykłe aktualizacje. Administratorzy instalują je w sekcji Ustawienia → System i aktualizacje → Aktualizacje; każdy pakiet jest podpisany i sprawdzany przed instalacją.