Zgłaszanie podatności

Obowiązuje od 19.10.2026

Jeśli znajdziesz podatność w Zdalnej, napisz na [email protected] (po polsku lub angielsku). Opisz problem, kroki do odtworzenia i wersję aplikacji. Dane kontaktowe są też w security.txt.

Zakres

• Aplikacje Zdalna na macOS i Windows
• Podgląd w przeglądarce zdalna.space/web i strony zaproszeń zdalna.space/r/
• API zdalna.space/api, serwer połączeń zdalna.space/ws i przekaźnik TURN
• Strona zdalna.space i pliki do pobrania

Poza zakresem: ataki odmowy usługi (DoS), socjotechnika i phishing wobec nas lub użytkowników, fizyczny dostęp, spam, raporty z automatycznych skanerów bez dowodu wpływu, usługi firm trzecich (np. Cloudflare, Hetzner).

Zasady testów

• Testuj na własnych kontach i własnych komputerach. Nie łącz się z cudzymi urządzeniami.
• Gdy trafisz na cudze dane, przerwij, nie kopiuj ich i zgłoś to od razu.
• Nie obciążaj usług. Ogranicz automatyczne zapytania do rozsądnego tempa.
• Nie publikuj szczegółów, dopóki nie wydamy poprawki albo nie minie uzgodniony termin.

Ochrona osoby zgłaszającej (safe harbor)

Jeśli działasz w dobrej wierze i według tych zasad, nie podejmiemy kroków prawnych ani nie zgłosimy Cię organom ścigania w związku z badaniem. Jeśli ktoś trzeci wystąpi przeciwko Tobie w związku z takim badaniem, potwierdzimy, że działałeś zgodnie z tą polityką.

Terminy

Informujemy o postępach. Szczegóły publikujemy po wydaniu poprawki, w uzgodnieniu z Tobą. Za zgodą wymieniamy osobę zgłaszającą w opisie poprawki. Nie prowadzimy płatnego programu bug bounty.

Akt o cyberodporności (CRA)

Od 11.09.2026 jako producent zgłaszamy aktywnie wykorzystywane podatności i poważne incydenty dotyczące naszych produktów do zespołu CSIRT pełniącego rolę koordynatora oraz do ENISA, przez platformę zgłoszeń ENISA: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin i raport końcowy po udostępnieniu poprawki.