Datasikkerhet har høy prioritet hos ClassPass. Og vi mener at å samarbeide med dyktige, eksterne sikkerhetseksperter er en viktig måte å identifisere svakheter i programvaren vår på.
Hvis du tror at du har avdekket et sikkerhetshull i tjenesten til ClassPass, ber vi deg om å varsle oss. Vi vil deretter samarbeide med deg for å løse problemet snarest.
Vi setter pris på at noen vil bruke tid og krefter på å rapportere sikkerhetshull, og derfor tilbyr vi en pengebelønning for å avdekke sårbarheter.
Retningslinjer for avdekking
Hvis du tror at du har funnet en potensiell sårbarhet, ber vi deg sende en e-post om det til security@classpass.com. Vi svarer på e-posten innen fem virkedager.
I e-posten må du rapportere følgende:
- Nettstedet, IP-adressen eller siden der sårbarheten kan bli sett
- En kort beskrivelse av typen sårbarhet
- Trinn for å gjenskape sårbarheten (dette må være en ikke-skadelig, ikke-destruktiv form for bevis). Det vil hjelpe oss å behandle innrapporteringen raskt og nøyaktig.
Vi ber om at du gir oss tilstrekkelig tid til å løse problemet før du røper det til offentligheten eller en tredjepart. Vi forsøker å løse kritiske problemer innen 30 dager etter at det har blitt oppdaget. Vi behandler saken for å sjekke at problemet ikke er innrapportert allerede, og for å klassifisere alvorlighetsgraden til sårbarheten. Når denne prioriteringsprosessen er fullført, betaler vi en pengebelønning via PayPal basert på alvorlighetsgraden til sårbarheten (forutsatt at sårbarheten er unik, dvs. ikke allerede er innrapportert).
Gå inn for å unngå brudd på personvern, å ødelegge data eller å avbryte eller degradere ClassPass-tjenesten. Du skal kun bruke kontoer du selv eier eller som du har fått uttrykkelig tillatelse fra kontoens innehaver til å benytte. Du må ikke med viten og vilje bryte gjeldende lover eller forskrifter, inkludert (men ikke begrenset til) lover og forskrifter som forbyr uautorisert tilgang til data.
Unntak
Når du gjør undersøkelser, ber vi deg om å avstå fra:
- Distribuerte tjenestenektangrep (DDoS-angrep)
- Søppelpost
- Sosial manipulering eller phishing av ClassPass-ansatte eller entreprenører
- Angrep mot fysisk eiendom eller datasentre tilhørende ClassPass
- Angrep mot sluttbrukerne våre eller handel med stjålne brukerlegitimasjoner. Ikke bruk lekkede eller kompromitterte kontoer som tilhører andre. Sårbarheter som blir oppdaget ved å bruke lekkede eller kompromitterte kontoer, vil ikke kvalifisere for belønning.
Takk for at du bidrar til å holde ClassPass og kundene våre trygge!
Endringer
Vi kan fra tid til annen komme til å endre disse retningslinjene. Den nyeste versjonen av retningslinjene er alltid tilgjengelig på https://classpass.com/vulnerability-disclosure.
Kontakt
ClassPass er alltid åpen for tilbakemeldinger, spørsmål og forslag. Hvis du ønsker å snakke med oss, er det bare å sende en e-post til security@classpass.com.