Sikkerhet
Sårbarhetsrapportering
KETL setter pris på sikkerhetsforskersamfunnets hjelp til å holde produktet trygt. Vi tar imot og følger opp ansvarlig avsløring av sikkerhetssårbarheter i KETL Finance.
Vi har ennå ikke et offentlig bug bounty-program med faste satser — det vurderes etter lansering. Vesentlige funn påskjønnes skjønnsmessig, og alle gyldige funn krediteres i Hall of Fame om du ønsker. Send rapporter til security@ketl.no.
Ansvarlig avsløring
For å kvalifisere til safe harbor-beskyttelse, må du:
- Rapportere direkte til oss — ikke offentliggjøre før vi har rettet.
- Gi oss minst 90 dager til å rette kritiske / 120 dager for andre.
- Ikke aksessere data utover hva som er nødvendig for å bevise funnet.
- Ikke utføre DoS-angrep, sosial manipulering eller fysiske angrep.
- Handle i god tro og ikke forstyrre produksjonstjenester.
Vi bekrefter mottak så raskt vi kan — normalt innen én virkedag — prioriterer retting etter alvorlighet, og holder deg oppdatert frem til funnet er lukket.
Påskjønnelse
I pilotfasen påskjønnes vesentlige funn skjønnsmessig ut fra alvorlighet, utnyttbarhet og faktisk risiko — vi publiserer ikke faste satser vi ikke kan garantere. Alle gyldige førstegangsfunn krediteres i Hall of Fame (om du ønsker). Et offentlig program med fast belønningsstruktur vurderes etter lansering.
Scope
| Mål | Status | Beskrivelse |
|---|---|---|
| finance.ketl.no | In scope | Hoved-applikasjon (web) |
| finance.ketl.no/api/** | In scope | REST API og Cloud Functions (hosting-rewrites) |
| *.ketl.no | In scope | Alle subdomener under ketl.no |
| Firebase/Firestore (infrastruktur) | Out of scope | Google-infrastruktur — rapporter til Google |
| Tredjeparts libraries | Out of scope | npm-pakker vi bruker — rapporter til oppstrøm |
| DoS/DDoS | Out of scope | Kapasitetstesting er ikke i scope |
| Social engineering | Out of scope | Phishing og manipulering er ikke i scope |
Send rapport
Send en e-post til security@ketl.no med:
- Beskrivelse av sårbarheten og potensiell impact
- Trinn for å reprodusere (PoC)
- Berørte URL-er og parametere
- Ditt foretrukne navn/alias for Hall of Fame (valgfritt)