Raportarea responsabilă a vulnerabilităților

#Statutul documentului

Această politică este efectivă de la 5 septembrie 2026. Versiunea și data intrării în vigoare afișate pe această pagină identifică documentul aplicabil. Publicarea acestei politici nu extinde autorizarea de testare dincolo de limitele descrise mai jos.

#Operator și canal de raportare

PROVEN este operat de Adrian Popescu, dezvoltator independent. Vulnerabilitățile de securitate privind sisteme controlate de PROVEN pot fi raportate la contact@proven.ro.

Raportul ar trebui să includă, atunci când este posibil fără divulgarea unor date sensibile: serviciul sau URL-ul afectat, pașii de reproducere, impactul observat, condițiile necesare reproducerii și date de contact pentru clarificări. Nu trimite parole, chei API, tokenuri, credențiale ale comercianților sau copii ale datelor personale care nu sunt necesare raportului.

#Domeniu

Această politică privește suprafețele și serviciile pe care PROVEN le operează sau le controlează. Nu autorizează testarea magazinelor comercianților, Shopify, furnizorilor externi sau a altor sisteme terțe doar pentru că acestea interacționează cu PROVEN.

#Limite pentru cercetarea de bună-credință

Nu sunt permise prin această politică:

• accesarea, modificarea, ștergerea sau exfiltrarea intenționată a datelor altor persoane ori comercianți;
• obținerea sau utilizarea secretelor, tokenurilor, cheilor API ori credențialelor care nu îți aparțin;
• denial of service, degradarea intenționată a disponibilității, flood, spam sau testare volumetrică;
• social engineering, phishing, impersonare sau solicitarea de credențiale de la utilizatori ori colaboratori;
• persistență, pivotare către alte sisteme, instalarea de malware sau modificări care supraviețuiesc testului;
• testarea infrastructurii unui comerciant sau a altui terț fără autorizarea sa separată.

Dacă în timpul unei verificări întâlnești date personale, secrete sau acces care depășește strict ceea ce este necesar pentru a demonstra problema, oprește verificarea și raportează situația fără a extinde accesul.

#Procesul de tratare

PROVEN poate confirma primirea, solicita detalii suplimentare, reproduce problema, evalua impactul și comunica remedierea sau coordonarea divulgării. Această politică nu stabilește un SLA de răspuns, un program de recompense sau o obligație de plată.

#Divulgare publică

Pentru a reduce riscul asupra utilizatorilor, evită publicarea detaliilor exploatabile înainte ca PROVEN să aibă o oportunitate rezonabilă de a investiga și, unde este cazul, de a remedia problema. Orice coordonare trebuie să respecte legea aplicabilă și drepturile terților.