Hlášení bezpečnostních chyb

Když v Doucku najdete bezpečnostní chybu, napište nám na security@doucko.app. Odpovídáme i na hlášení, která se nakonec ukážou jako plané, a nebudeme vás za nález nijak popotahovat, pokud se držíte pravidel níž.

Co nás zajímá nejvíc

Appka se připravuje na to, že v ní budou účty dětí, jejich pokrok a e-maily rodičů. Nejcennější jsou proto nálezy, kterými se dá:

• dostat k cizímu účtu nebo k pokroku jiného dítěte,
• vytáhnout adresy ze seznamu zájemců,
• získat řešení nebo vysvětlení úlohy, aniž by ji člověk zkusil,
• obejít nárok a používat placené části bez zaplacení,
• dostat se do týmového přehledu na /tym.

Co je mimo rozsah

Tyhle věci prosím neposílejte, odpovíme na ně jen odkazem sem:

• zahlcení služby a jakékoli zátěžové testy,
• rozesílání pošty našim uživatelům, podvodné stránky na naše jméno,
• chybějící bezpečnostní hlavičky bez ukázky, čím konkrétně škodí,
• samotný výstup automatického skeneru bez ověření,
• nálezy na cizích službách, které používáme (hosting, e-mail, Discord),
• chyby, ke kterým je potřeba plný přístup k zařízení oběti.

Co uděláme my

Ozveme se do pěti pracovních dnů, že hlášení máme. Dáme vědět, jestli to bereme jako chybu, a napíšeme, až bude opravená. Pokud budete chtít, rádi vás u opravy uvedeme jménem.

Jsme dvoučlenný studentský tým a za nález nevyplácíme odměnu. Píšeme to rovnou, ať se kvůli tomu nikdo neobtěžuje.

Co potřebujeme od vás

Nezveřejňujte nález, dokud nebude opravený, a dejte nám na to rozumný čas. Zkoušejte to jen na vlastních datech, ne na cizích účtech; když omylem narazíte na cizí údaje, přestaňte a napište nám to. Nemažte a neměňte nic, co vám nepatří, a nezkoušejte službu položit.

Pokud se těchhle pravidel držíte, bereme váš postup jako pomoc a nepodnikneme proti vám právní kroky.

Šifrovaně

Citlivé hlášení můžete zašifrovat naším veřejným klíčem: pgp-key.txt. Šifrovat nemusíte, obyčejný e-mail stačí.

Strojově čitelná podoba téhle stránky je v security.txt podle RFC 9116. Chyby v úlohách, tedy špatné zadání nebo klíč, patří jinam: napište na kontakt v podmínkách.