Sikkerhedspolitik

Ansvarlig rapportering

Vi tager sikkerheden af TimeTrack og vores brugeres data alvorligt. Hvis du opdager en sikkerhedssårbarhed, beder vi dig om at rapportere den ansvarligt, så vi kan rette den før den bliver udnyttet.

Sådan rapporterer du

• Send en email til security@timetrack.dk
• Beskriv sårbarheden så detaljeret som muligt
• Inkludér trin til at reproducere problemet
• Angiv hvilken type sårbarhed det drejer sig om
• Vedhæft eventuelt screenshots eller proof-of-concept

Vores forpligtelser

• Vi bekræfter modtagelsen inden for 48 timer
• Vi giver en vurdering af sårbarheden inden for 5 hverdage
• Vi løser kritiske sårbarheder inden for 7 dage
• Vi holder dig opdateret om status på din rapportering
• Vi krediterer dig (med dit samtykke) når rettelsen er udrullet

Hvad er i scope

• timetrack.dk og alle subdomæner
• TimeTrack API (api/v1/*)
• TimeTrack browser-extension
• Autentificering og autorisering
• Datalækager og uautoriseret adgang
• Cross-site scripting (XSS) og injection

Hvad er IKKE i scope

• Social engineering / phishing-angreb mod medarbejdere
• Denial-of-service (DoS/DDoS) angreb
• Brute-force angreb mod login
• Selvrapporterede sårbarheder uden teknisk evidence
• Sårbarheder i tredjepartsservices vi ikke kontrollerer

Safe Harbor

Vi vil ikke forfølge juridiske skridt mod sikkerhedsforskere der handler i god tro og følger denne politik. Vi anser sikkerhedsforskning udført i overensstemmelse med denne politik for at være autoriseret aktivitet.