Палітыка бяспекі

Што ўваходзіць у ахоп

Гэтая палітыка тычыцца наступнага:

Галоўны сайт — змест, шаблоны і статычныя рэсурсы
Інтэграцыя запісаў — убудаванне і паток даных Acuity Scheduling
Апрацоўка ахвяраванняў — плацежныя спасылкі і вэбхукі Stripe
Форма звароту — адпраўка і праверка паведамленняў
Кнопкі «падабаецца» — лікі захаваны ў Cloudflare KV

Па-за ахопам

Наступнае не ўваходзіць у ахоп (але мы ўсё роўна перадамо справаздачы):

Староннія сэрвісы (Acuity, Stripe, Cloudflare) — кіруюцца ўласнымі палітыкамі
Інфраструктура Cloudflare — хасцінг, CDN і абарона ад DDoS
Сацыяльныя сеткі / вонкавыя спасылкі — змест на платформах, якія мы не кантралюем

Як паведаміць пра праблему бяспекі

Калі вы выявілі ўразлівасць, паведаміце пра гэта адказна:

Email (пераважна)

Даслаць дэталі на наш адрас бяспекі. Уключыце крокі для ўзнаўлення, уплыў і любы доказ.

Паведаміць праз email

Форма звароту

Скарыстайцеся формай звароту, калі email недаступны. Пазначце тэму як «Пытанне бяспекі».

Скарыстацца формай

Бяспечная гавань / дазволенае тэставанне

Мы падтрымліваем адказнае даследаванне бяспекі:

Мы не будзем прымаць юрыдычных мер супраць вас за добрасумленнае даследаванне бяспекі, якое прытрымліваецца гэтай палітыкі. Гэта ўключае доступ толькі да ўласных акаўнтаў, недапушчэнне доступу да чужых даных і непарушэнне працы сэрвісаў. Мы просім даць нам разумны час, каб выправіць праблемы перад публічным раскрыццём.

Што адбываецца пасля вашай справаздачы

Мы бярэм на сябе наступныя тэрміны:

Пацверджанне

На працягу 3 працоўных дзён — пацвярджаем атрыманне і прысвойваем ідэнтыфікатар.

Сартаванне і праверка

На працягу 10 працоўных дзён — ацэньваем сур’ёзнасць і ўплыў.

Вырашэнне

Імкнемся выправіць крытычныя праблемы на працягу 30 дзён. Менш сур’ёзныя могуць заняць больш часу.

Узгодненае раскрыццё

Мы ўзгоднім з вамі дату раскрыцця пасля разгортвання выпраўлення.

Староннія сэрвісы

Мы выкарыстоўваем надзейных пастаўшчыкоў для пэўных функцый. Іх практыкі бяспекі кіруюцца ўласнымі палітыкамі:

Сэрвісы, якія мы выкарыстоўваем

Stripe: Апрацоўка плацяжоў для ахвяраванняў. Сертыфікавана PCI DSS Level 1. Гл. Прыватнасць Stripe.
Cloudflare: Хасцінг, CDN, абарона ад DDoS і KV-сховішча для «падабаецца». Гл. Прыватнасць Cloudflare.
Google Fonts: Уласныя вэб-шрыфты. Вонкавыя шрыфтавыя серверы не выкарыстоўваюцца.

Мы пераглядаем практыкі бяспекі старонніх сэрвісаў штогод і пры даданні новых.

Пытанні пра гэтую палітыку?

Звяжыцеся, калі штосьці незразумела:

Напішыце нам на {{ brand.email }} або скарыстайцеся формай звароту.

Напісаць нам