Zásady hlášení zranitelností

Účinné od 15. 9. 2026

Našli jste na webu bearclave.cz nebo v jeho infrastruktuře bezpečnostní zranitelnost? Dejte nám vědět. Tato stránka popisuje, jak nález nahlásit a co od nás můžete čekat. Strojově čitelná podoba kontaktu je v souboru /.well-known/security.txt.

Kam hlásit

E-mailem na security@bearclave.cz, nebo do datové schránky h3irc3m. Hlášení přijímáme česky i anglicky.

Do hlášení uveďte popis zranitelnosti, dotčenou adresu nebo službu, postup reprodukce a dopad, který podle vás hrozí. Do e-mailu neposílejte osobní údaje třetích osob ani reálná data, která jste nálezem získali.

Co od nás čekat

Potvrzení přijetí do 3 pracovních dnů.
První vyhodnocení a rozhodnutí o dalším postupu do 10 pracovních dnů.
Informaci o odstranění nebo o důvodu, proč nález nepovažujeme za zranitelnost.
Poděkování, a pokud si to přejete, uvedení vašeho jména mezi nahlášeními po odstranění.

Odměnu za nálezy nevyplácíme. Bearclave neprovozuje program odměn za zranitelnosti.

Rozsah

Do rozsahu patří doména bearclave.cz včetně poddomén a veřejné koncové body, které jsou z ní dostupné.

Mimo rozsah jsou prostředí zákazníků Bearclave, služby třetích stran, nálezy z automatického skenování bez prokázaného dopadu, chybějící nepovinné hlavičky bez doložitelného rizika, výsledky hodnoticích služeb typu známky za konfiguraci TLS a hlášení o e-mailových záznamech, které odpovídají zveřejněné konfiguraci.

Pravidla testování

Netestujte odepření služby, zátěžové ani objemové útoky.
Nepoužívejte sociální inženýrství proti lidem ani phishing.
Nepracujte s cizími daty. Když na ně narazíte, testování ukončete a napište nám.
Nemažte a neměňte data ani konfiguraci, nezhoršujte dostupnost služby.
Nález nezveřejňujte, dokud není odstraněný nebo dokud se na zveřejnění nedomluvíme.

Pokud se těchto pravidel držíte, bereme vaše jednání jako pomoc v dobré víře a nepodnikneme proti vám právní kroky. Tato stránka není vzdáním se práv podle právních předpisů a nenahrazuje souhlas vlastníka cizí infrastruktury.