Zakres
- Witryna
tomek.st(strony publiczne, formularz, API pod tą domeną). - Publiczne endpointy, które witryna sama udostępnia.
Poza zakresem: sieci, konta i aplikacje klientów; skanowanie masowe; social engineering wobec osób prywatnych; DoS; próby obejścia zabezpieczeń u dostawców poczty, hostingu albo DNS bez wcześniejszej zgody na piśmie.
Jak zgłosić
Napisz na hello@tomek.st
z tematem zawierającym słowo security, albo przez formularz (temat „Inne”) z krótkim opisem.
Wystarczy: adres URL lub endpoint, kroki odtworzenia, wpływ, zrzut albo log bez haseł
i bez danych osób trzecich.
Plik /.well-known/security.txt wskazuje
te same kontakty.
Czego nie oczekuję
- Automatycznego skanu całej domeny „na zapas”.
- Eksploatacji produkcyjnej poza potwierdzeniem wpływu.
- Publicznej publikacji przed odpowiedzią — zwykle odpowiadam w kilka dni roboczych.
- Programu bug bounty z wypłatą; podziękowanie i poprawka są standardem.
Dostępność kontaktu
Telefon: telefon chwilowo niedostępny. Zwykłe zgłoszenie przez e-mail lub formularz: odpowiedź zwykle w 1 dzień roboczy. To nie jest całodobowy SOC ani retainer dla systemów klientów.