Sikkerhet
Sårbarhetsrapportering
Har du funnet et sikkerhetshull i KETL Finance? Si fra til oss først, så retter vi det — og krediterer deg om du vil.
Vi har ennå ikke et offentlig bug bounty-program med faste satser — det vurderes etter lansering. Vesentlige funn påskjønnes skjønnsmessig, og alle gyldige funn krediteres i Hall of Fame om du ønsker. Send rapporter til security@ketl.no.
Ansvarlig avsløring
For å være omfattet av safe harbor-beskyttelsen må du:
- Melde fra direkte til oss — og ikke offentliggjøre før vi har rettet.
- Gi oss minst 90 dager til å rette kritiske funn, og 120 dager for andre.
- Ikke åpne mer data enn du trenger for å bevise funnet.
- Ikke utføre DoS-angrep, sosial manipulering eller fysiske angrep.
- Handle i god tro og ikke forstyrre tjenesten for kundene.
Vi bekrefter mottak så raskt vi kan — normalt innen én virkedag — prioriterer retting etter alvorlighet, og holder deg oppdatert frem til funnet er lukket.
Påskjønnelse
I pilotfasen påskjønnes vesentlige funn skjønnsmessig ut fra alvorlighet, utnyttbarhet og faktisk risiko — vi publiserer ikke faste satser vi ikke kan garantere. Alle gyldige førstegangsfunn krediteres i Hall of Fame (om du ønsker). Et offentlig program med fast belønningsstruktur vurderes etter lansering.
Hva som er omfattet
| Mål | Omfattet | Beskrivelse |
|---|---|---|
| finance.ketl.no | Ja | Nettappen |
| finance.ketl.no/api/** | Ja | REST-API-et og serverfunksjonene bak det |
| *.ketl.no | Ja | Alle subdomener under ketl.no |
| Firebase/Firestore (infrastruktur) | Nei | Googles infrastruktur — meld fra til Google |
| Tredjepartsbiblioteker | Nei | npm-pakker vi bruker — meld fra til den som vedlikeholder pakken |
| DoS/DDoS | Nei | Belastningstesting er ikke omfattet |
| Sosial manipulering | Nei | Phishing og manipulering er ikke omfattet |
Slik melder du fra
Send en e-post til security@ketl.no og ta med:
- Hva sårbarheten er, og hva den kan føre til
- Steg for å gjenskape den (PoC)
- Hvilke URL-er og parametere som er berørt
- Navnet eller aliaset du vil krediteres med i Hall of Fame (valgfritt)