Bezpieczeństwo i zgłaszanie podatności

Bezpieczeństwo aplikacji 9dev traktuję poważnie. Jeśli znajdziesz podatność w którejś z aplikacji albo w usługach, z których one korzystają, zgłoś ją bezpośrednio do mnie. Ta strona opisuje, jak to zrobić i czego możesz się spodziewać.

Pojedynczy punkt kontaktowy

Podatności i incydenty bezpieczeństwa zgłaszaj na adres security@9dev.pl albo przez formularz zgłoszeń. To pojedynczy punkt kontaktowy producenta w rozumieniu rozporządzenia (UE) 2024/2847 (Cyber Resilience Act) dla wszystkich aplikacji 9dev. Adres i formularz podaje też plik security.txt.

W zgłoszeniu podaj:

• aplikację i jej wersję, platformę (iOS lub Android) i wersję systemu,
• opis problemu i jego możliwe skutki,
• kroki pozwalające odtworzyć problem,
• informację, czy wiesz o wykorzystaniu podatności przez kogoś innego.

Nie dołączaj danych osobowych innych osób. Jeśli do odtworzenia problemu potrzebne są dane, użyj własnego konta testowego.

Czego możesz się spodziewać

• Potwierdzenie odbioru w ciągu 3 dni roboczych.
• Wstępną ocenę zgłoszenia w ciągu 10 dni roboczych.
• Informację o postępie co najmniej raz na 30 dni, do czasu wydania poprawki.
• Uzgodnienie terminu ujawnienia i, za Twoją zgodą, podziękowanie w komunikacie bezpieczeństwa.

Poprawki bezpieczeństwa są bezpłatne i trafiają do użytkowników jako aktualizacje w App Store i Google Play.

Zasady ujawniania

Prosimy, nie publikuj szczegółów podatności przez 90 dni od zgłoszenia albo do wydania poprawki, zależnie od tego, co nastąpi wcześniej. Jeśli podatność jest aktywnie wykorzystywana albo poprawka wymaga więcej czasu, ustalimy termin wspólnie.

Po wydaniu poprawki publikuję komunikat bezpieczeństwa: opis podatności, aplikację i wersje, których dotyczy, skutki, wagę oraz instrukcję dla użytkowników. Publikację mogę opóźnić tylko wtedy, gdy ujawnienie stworzyłoby większe ryzyko niż korzyść, i tylko do czasu, aż użytkownicy będą mogli zainstalować poprawkę.

Badania w dobrej wierze

Nie podejmę kroków prawnych wobec osoby, która szuka podatności w dobrej wierze i przestrzega tych zasad:

• testuje wyłącznie na własnych kontach i własnych danych,
• nie narusza prywatności innych użytkowników, nie odczytuje, nie zmienia i nie usuwa cudzych danych,
• nie przeprowadza testów przeciążeniowych (DoS), spamu ani ataków socjotechnicznych,
• przerywa test, gdy uzyska dostęp do cudzych danych, i zgłasza to bez zwłoki,
• nie wykorzystuje podatności w większym stopniu, niż wymaga jej wykazanie.

Zakres

Polityka obejmuje aplikacje mobilne 9dev, ich backend (funkcje i bazy danych w Supabase) oraz stronę 9dev.pl.

Poza zakresem są:

• usługi stron trzecich, np. Apple, Google, Supabase i RevenueCat (zgłaszaj je bezpośrednio ich dostawcom; jeśli problem dotyczy sposobu, w jaki aplikacja 9dev z nich korzysta, zgłoś go mnie),
• ataki fizyczne i socjotechniczne,
• zgłoszenia bez wpływu na bezpieczeństwo, np. brak nagłówka bez wskazania scenariusza ataku.

Nie prowadzę płatnego programu nagród (bug bounty).

Obowiązki producenta

Aktywnie wykorzystywane podatności i poważne incydenty zgłaszam do ENISA i do CSIRT wyznaczonego na koordynatora zgodnie z art. 14 rozporządzenia (UE) 2024/2847. O podatności lub incydencie, który ich dotyczy, informuję też użytkowników wraz z instrukcją, co mogą zrobić.

Inne sprawy

• Pomoc w aplikacjach: support@9dev.pl.
• Prywatność i usuwanie konta: privacy@9dev.pl.
• Zgłoszenia nielegalnych treści (DSA): dsa@9dev.pl.