🔒 Zásady zabezpečení
Poslední aktualizace: 14. prosince 2025
Vítejte na stránce bezpečnostní politiky dadej.cz. Jako specialista na zabezpečení sociálních sítí beru bezpečnost velmi vážně a vítám odpovědné hlášení bezpečnostních zranitelností.
📋 Rozsah působnosti
Tato bezpečnostní politika se vztahuje na:
- Webová stránka
dadej.cz a všechny její subdomény
- Všechny webové aplikace hostované na doméně dadej.cz
- Veřejně dostupné API endpointy (pokud existují)
🎯 Co hlásit
Vítáme hlášení následujících typů zranitelností:
Vysoká závažnost:
- Cross-Site Scripting (XSS) - Stored, Reflected, DOM-based
- SQL Injection - Jakákoli forma SQL injection
- Remote Code Execution (RCE) - Možnost spuštění kódu na serveru
- Authentication Bypass - Obcházení autentizace
- Přístup k citlivým datům - Neoprávněný přístup k osobním údajům
- Server-Side Request Forgery (SSRF)
Střední závažnost:
- Cross-Site Request Forgery (CSRF)
- Clickjacking - Pokud není správně chráněno
- Information Disclosure - Neúmyslné odhalení citlivých informací
- Insecure Direct Object References (IDOR)
- Security Misconfiguration - Špatně nakonfigurované bezpečnostní hlavičky
Nízká závažnost:
- Chybějící HTTP bezpečnostní hlavičky (pokud nejsou kritické)
- Cookies bez secure flag (v nekritických případech)
- Subresource Integrity (SRI) problémy
❌ Co NEHLÁSIT
Následující problémy NEBUDOU akceptovány:
- Absence rate limiting (pokud není zneužitelné)
- Absence CAPTCHA systému
- Běžné automatizované skenery bez ověření (false positives)
- Teoretické útoky bez proof-of-concept
- Social engineering vůči mé osobě nebo zákazníkům
- Denial of Service (DoS/DDoS) útoky
- Spam nebo phishing útoky
- Fyzický útok na infrastrukturu
📧 Jak nahlásit zranitelnost
Vaše hlášení by mělo obsahovat:
- Popis zranitelnosti - Detailní popis problému
- Postup reprodukce - Krok za krokem návod k ověření
- Dopad - Jaký je potenciální dopad na bezpečnost
- Proof of Concept - Demonstrace zranitelnosti (pokud je to bezpečné)
- Navrhované řešení - Pokud máte nápad na opravu (volitelné)
- Vaše kontaktní údaje - Pro zpětnou vazbu
⏱️ Časová osa odpovědi
- První odpověď: Do 48 hodin od přijetí hlášení
- Potvrzení zranitelnosti: Do 7 dnů
- Oprava kritických zranitelností: Do 30 dnů
- Oprava středních zranitelností: Do 60 dnů
- Oprava nízkých zranitelností: Do 90 dnů
🛡️ Safe Harbor
Pokud budete dodržovat následující pravidla, nebudu podnikat právní kroky:
- Okamžitě mi nahlásíte nalezenou zranitelnost
- Poskytnete mi přiměřený čas na opravu před zveřejněním
- Nebudete přistupovat k datům, která vám nepatří
- Nebudete provádět destruktivní testy (DoS, mazání dat, atd.)
- Nebudete zveřejňovat zranitelnost bez mého souhlasu
- Nebudete zneužívat zranitelnost k vlastnímu prospěchu
🎖️ Uznání
Pokud najdete platnou zranitelnost, rád vás zveřejním na naší stránce s poděkováním (s vaším souhlasem).
📜 Zveřejnění
Po opravě zranitelnosti:
- S vaším souhlasem můžete zranitelnost zveřejnit po 90 dnech od opravy
- Pokud budete chtít zveřejnit dříve, kontaktujte mě pro schválení
- Oceňuji koordinované zveřejnění (coordinated disclosure)
🔍 Testovací pravidla
DŮLEŽITÉ - Při testování:
- ❌ NEPOUŽÍVEJTE automatizované skenery bez předchozího souhlasu
- ❌ NEPROVÁDĚJTE útoky typu Denial of Service
- ❌ NEMĚŇTE ani neničte žádná data
- ✅ POUŽÍVEJTE testovací účty (pokud jsou k dispozici)
- ✅ MINIMALIZUJTE dopad vašeho testování
- ✅ ZASTAVTE testování, pokud narazíte na osobní data
📞 Kontakt v naléhavých případech
Pokud objevíte kritickou zranitelnost s vysokým rizikem:
- Použijte předmět emailu:
[CRITICAL SECURITY]
- Kontaktujte mě na lukas@dadej.cz
- Můžete zavolat na +420 602 637 123 (v pracovní době 9-17 CET)
🌐 Další zdroje
💚 Děkuji za pomoc s udržením dadej.cz v bezpečí!
Vaše odpovědné hlášení zranitelností pomáhá chránit nejen můj web, ale také všechny jeho návštěvníky.
← Zpět na hlavní stránku