Zgłoś podatność

Polityka Odpowiedzialnego Zgłaszania Podatności

1. Wprowadzenie

Bezpieczeństwo systemów informatycznych MarketPay jest priorytetem. Niniejsza polityka ma na celu zapewnienie jasnych, bezpiecznych i zgodnych ram do odpowiedzialnego zgłaszania podatności zidentyfikowanych w naszych zasobach cyfrowych. Umożliwia badaczom bezpieczeństwa współpracę z nami w sposób uporządkowany, odpowiedzialny i współpracujący.

2. Ramy prawne

Zobowiązujemy się do przestrzegania RODO, Dyrektywy NIS2, francuskiej Ustawy o Republice Cyfrowej, Konwencji Budapesztańskiej, a także norm ISO/IEC 29147 i 30111 oraz zaleceń NIST, ENISA i CISA.

3. Nasze zobowiązania

Nie podejmiemy żadnych działań prawnych, ani cywilnych, ani karnych, przeciwko osobom, które ściśle przestrzegają tej polityki.

Traktujemy raporty w dobrej wierze z powagą i szacunkiem.

Potwierdzimy odbiór w ciągu 48 godzin roboczych.

Będziemy informować badacza o kluczowych etapach oceny i rozwiązania.

4. Dozwolony zakres

Niniejsza polityka obejmuje następujące systemy i usługi:

  • Terminal płatniczy
  • Tap to Pay
  • Płatność online
  • MarketPay Hub
  • MarketPay Assist

Testowanie poza tym zakresem nie jest dozwolone.

5. Dozwolone i zabronione metody

✅ Co możesz zrobić:

  • Przeprowadzaj nieinwazyjne testy w celu zidentyfikowania potencjalnej luki (np. XSS, SQL injection, niewłaściwa kontrola dostępu).
  • Testuj tylko swoje własne konta lub środowiska testowe.
  • Dokładnie dokumentuj i zgłaszaj dowody podatności.

❌ Czego nie wolno robić:

  • Uruchamiaj ataki DDoS, ransomware lub brute-force.
  • Wykorzystuj lukę poza dowodem koncepcji.
  • Stosuj socjotechnikę lub oszukuj użytkowników lub pracowników.
  • Uzyskuj dostęp, kopiuj, modyfikuj lub usuwaj dane osobowe lub wrażliwe.
  • Publicznie ujawniaj podatność bez naszej pisemnej zgody.

6. Jak zgłaszać

Kanał zgłaszania:

Dedykowany adres e-mail: vulnerability-report@market-pay.com

Prosimy o użycie naszego klucza PGP:

—–BEGIN PGP PUBLIC KEY BLOCK—–

mQGNBGGlBtQBDADB7NlNXCBA1mS+1LIwzPFJ+wE00+GrDqbbnbOBUFH7akQwhAlD

qPAD3QdxyqajqKch/+8hSn708NFvl9w0w16sEV3MtomIwMG0btsgdRO/5lsx31K4

NCVUGmA6qPSLuwWEWqYgW99j4UGHYKMgwTv/x2NiBGzilUiD9DNHK/NNisoHUiB/

eY5asKXmsd3a+4OXWOzfX5dl2bCEapCp/AXTM3Ff/Hy6L4aaz+cnpIdLp4dlBV2G

fwSlUa9Lkx4tCeFhypMPdPqcnkF2TjG5DYJcJDVvYEoBIL7qtgl7GpAuQNiYZ1Bh

Tpjk0h8ZYdMZ58KqWImbOXoydN3My5jctfCigA64oQR+jJjS+PJlaM8xXSrWcDOI

+0oNZ2Mj7Oqh07utMnMszgoUiy/yjPHnUde2tJjPwcqL72nPYUi0bBZCGh0u13Y/

wn7clBN6tiC9eCVrw5/ofiEpeR+WtC5GNrZ6n4W7xKhi9x2KzdJNPojacosuH6FA

hX1FcmZ226QL7cEAEQEAAbQ6VnVsbmVyYWJpbGl0eSBSZXBvcnQgPHZ1bG5lcmFi

aWxpdHktcmVwb3J0QGRlamFtb2JpbGUuY29tPokBzgQTAQoAOBYhBN0KuaDJugTB

A5AngJCA7d9W9RMxBQJhpQbUAhsDBQsJCAcCBhUKCQgLAgQWAgMBAh4BAheAAAoJ

EJCA7d9W9RMxwVkL/iKTHp6RUJxIZrdhM0uaiEun8erg2ZAqMpqpg8XArstJy8PQ

NW18sKlIl5QP6q0zLetL2aoMvXgS7ZRdQTdImbhCkGqTyWjbgCM3y+uo3E9PJhF5

pWSwM8W3syQSfrhFYlc4Uqqz3j9UxyiSixn8J4O75ILAtloKxukz4O3e1Xp/XebL

BhTjhwoOI02GYn8UvznoH2F0ilazgGTObhOTXSs0HBEwgooA861JpqO3lOTtXs2P

qUJtyzc0d/mQrJUZEGBZF3iwfh+giAfzhA7dVfkxkfZWvIwaIDRz/3ItY2DUVsvo

+EKQRYrSW5Ae448R3OnRmGx4SXNy3mSjQm220DXWKfL1j/rVbNYO5swKHZyJNZy1

emAoHDIEx2yO6EFDoQ8q37lOAwMdTvMG7YW4ybnsBEhPOLhvkO9YcYkQUphNCT5A

B4GZZ75Iy6g5NPqKL6sFHMxDdqUdpAJ3e2F1ljrF4oVSMBYTd2UXqboV/Zg3RhD0

8eVKugx5a7+ARBkKY7kBjQRhpQbUAQwAp7SwKrRDBXh5zEb4RMPBf+F0vJAtBPLC

wOZYel7lL4m4fvWz1LfFhDsc9voQ9DXGYHrgOjqMYe0ypiBaJCZ3nGB/I+MlqJZl

WsvoJlg5+UEqnaamY/LgTch3MluX7GYAnfVXS8VF7Dfwt5PTKA+z/xDUfGXWQOGN

srRyAs0Yx1XL/FOCSruRRayT53O08SxWaLeKsUQgIjS7yLubcJyT2Zou/kItqSzT

oEVPoZLHOHAenGAfAakkCoKJaD83vz/LWAB9Z5ctO1E8jdC2xDheiR6DFADvdHgc

MWHob4kpqVPZs6jlwN+Kbx6kcwy2XhBS0mfeNNJg2tcU96aOmJ0nQsq4hVhiC5Lf

/ru/JconjXCc39JKg+ukYxByQ0b/YHGlF8ajT9EZwJEpnZ7AZG0zmqwiErm1PkFf

KqPxAJxEPXTB0BGj0Ea3WUr0lkCwjE4XAogMHSkTnsmBS9RO5HPKqljsD628n0PJ

mLk57TT550nvvqq298GoUTwg6/IoGDpVABEBAAGJAbYEGAEKACAWIQTdCrmgyboE

wQOQJ4CQgO3fVvUTMQUCYaUG1AIbDAAKCRCQgO3fVvUTMfANC/wKYB71y0rtQ+NE

npSgYKgAf3CrvbdBkIABKexCIW/6uTz7zCMP4he4bTzmjQkvci0NpYoPFZcVWvMj

1nGp1gZLpZG2CxdA+YknfNJK55RK9LNe48GHu9Z48C18yo1Fa6HL1G2CwUorOpxG

G+9QbUrPLRreINF8EboTzCDGzZWWtLMBIbYgnlFgh3hlSRFvbIBRr2lGDvozV+O/

3FvRvbUyTI/S5e8khBTi9IT4Qqa/3ItNvB5tO0ihdXz2s0TswgIXMmS6O0Ca0Mpu

MW6QbGvT/OXhk4yyGK667+6mGWPyLblxqSZGcJw276o5D+x1YRgVEihFgxxSkwDN

zmxpolHutvdLYff2zwSELo5+NauaUwnBoKDk4TcJsclkWjVeLYVvXGu1/lpvsy2t

uH0oH3MhPU9lBl6CmoQZ4xSxcGOwORvyxN/2Soj5yZD2UcPbEvv8vg8Q6hup1STo

PHhnhlToybXS8NM809Ee2bGO5h1eeYumIay/DcoUrsnbT1MvXIU=

=vUXQ

—–END PGP PUBLIC KEY BLOCK—–


Informacje do uwzględnienia:

  • Szczegółowy opis podatności
  • Kroki reprodukcji
  • Zakres dotknięty
  • Potencjalny wpływ
  • Dane techniczne lub zrzuty ekranu

Obsługa raportu:

  • Potwierdzenie w ciągu 48 godzin roboczych
  • Ocena powagi na podstawie wyniku CVSS
  • Rozwiązanie w rozsądnym czasie w zależności od wpływu
  • Ciągła komunikacja z badaczem

7. Warunki ogólne

Brak nagrody finansowej: Nie oferujemy nagrody za błędy w ramach tej polityki.

Poufność: Treść twojego raportu pozostaje poufna. Nie ujawnimy twojej tożsamości bez twojej zgody.

Publikacja: Zastrzegamy sobie prawo do opublikowania zawiadomienia o bezpieczeństwie z anonimowym lub publicznym uznaniem, w zależności od twoich preferencji.

8. Bezpieczeństwo komunikacji

  • Obowiązkowe użycie HTTPS
  • Szyfrowanie PGP dla e-maili
  • Silne uwierzytelnianie dostępu do wewnętrznych platform przetwarzania
  • Rejestrowanie wszystkich raportów dla śladu audytu

9. Zastrzeżenie prawne

Każde zachowanie poza zdefiniowanymi ramami może skutkować działaniami prawnymi. Niniejsza polityka nie stanowi zgody na włamanie.