Bei Acquia nehmen wir die Sicherheit unserer Produkte sehr ernst. Wir bilden unsere Mitarbeiter über bewährte Sicherheitspraktiken aus und unser Entwicklungsprozess umfasst Qualitätssicherungsschritte, um sicherzustellen, dass unsere Produkte von hoher Qualität und Sicherheit sind. Wie bei allen komplexen Softwareprodukten ist es jedoch möglich, dass eine Sicherheitslücke in einem unserer Produkte vorhanden ist. Wenn Sie ein Sicherheitsproblem oder eine Verwundbarkeit in einem Acquia-Produkt oder einer Dienstleistung entdecken, bitten wir Sie, uns dies vertraulich zu melden.
Bitte senden Sie die Daten an unser Sicherheitsteam [email protected] .com. Wir schätzen eine verantwortungsvolle Offenlegung und werden Sicherheitsforscher anerkennen, wenn ein Problem gemeldet wurde, das sich an die folgenden Parameter hält.
Acquia hat derzeit kein Bug-Bounty-Programm, aber wir freuen uns, Forschern ihren Namen und einen Link zu einer Adresse Ihrer Wahl (z. Twitter oder persönliche Website) in unserer Hall of Fame unten.
Parameter und Ausschlüsse
- Greifen Sie die Daten von Acquia oder seinen Kunden in keiner Weise auf, zerstören oder beeinträchtigen Sie Sie.
- Verwenden Sie keine automatisierten Scanner. (der Einsatz automatisierter Scanner kann zu Ermittlungsmaßnahmen führen und Ihre IP-Adresse blockiert werden.)
- Sie bemühen sich nach gutem Glauben, Verstöße gegen die Privatsphäre und die Unterbrechung oder Verschlechterung der Dienste von Acquia während ihrer Recherche zu vermeiden. z.b.. Denial of Service)
- Führen Sie keine physische oder elektronische Attacke gegen das Personal, die Büros oder Rechenzentren von Acquia durch.
- Sie erlauben es, Ihrem Bericht einen angemessenen Zeitpunkt zu untersuchen und notwendige Sanierungen durchzuführen.
- Verstoßen Sie nicht gegen Gesetze oder verstoßen Sie gegen vorherige Vereinbarungen.
Bitte melden Sie folgende Themen nicht:
- Server-Software-Banner oder andere Versionsinformationen angezeigt.
- Beschreibende Fehlermeldungen.
- Fehlende http-Sicherheits-Header. z.b.. X-Frame-Optionen)
- Fehlende oder falsche SPF-Aufzeichnungen.
- Csrf auf Formularen, die anonymen Nutzern zur Verfügung stehen
- Benutzername/Email-Aufzählung
- Offenlegung bekannter öffentlicher Akten. (z.b. robots. txt)
Acquia wird keine Klagen gegen Forscher einleiten, solange Sie sich an diese Parameter halten. Acquia behält sich nur Kredit Forschern vor, die über ein bewährtes und ausreichendes Problem berichtet haben.
Welche Details sollten Sie bei der Meldung einer Sicherheitsfrage angeben
Bitte geben Sie so viele relevante Details wie möglich an, wie:
- Wie die Verwundbarkeit ausgenutzt werden kann und welche möglichen Auswirkungen das hat.
- Wie Sie die Verwundbarkeit und klare Schritte zur Reproduktion entdeckt haben.
- Jeder Nachweis von Konzept Angriffen und/oder Bildern, die den Angriffsvektor zeigen.
- Alle bekannten Patches oder Kontrollen, um die Verwundbarkeit zu mildern.