Bezpečnost

Bezpečnost a nahlášení zranitelnosti

Když v tomto webu nebo v aplikacích, které publikuji, najdeš chybu zabezpečení, budu rád, když se mi ozveš. Každé nahlášení beru vážně. Tato stránka je zároveň kontaktním místem pro hlášení zranitelností a popisem toho, jak s nimi nakládám.

Jak to nahlásit

Napiš na security@vibcodingsdusi.cz. Pomůže, když uvedeš:

• kde problém je (adresa stránky nebo název a verze aplikace),
• jak se dá reprodukovat, nejlépe krok za krokem,
• jaký by podle tebe mohl mít dopad.

Co je v rozsahu

• tento web (vibcodingsdusi.cz),
• aplikace, které publikuji, například Vnitřní kompas pro Windows a Android.

Mimo rozsah jsou útoky vyčerpáním kapacity, sociální inženýrství a nálezy bez reálného dopadu na bezpečnost.

O co tě prosím

• Nezveřejňuj nález dřív, než dostanu rozumnou šanci ho opravit. Délku lhůty se dohodneme podle závažnosti.
• Nepřistupuj k datům jiných lidí a nenarušuj provoz webu.
• Zprávu mi pošli soukromě, ne přes sociální sítě.

Co můžeš čekat

Přijetí hlášení potvrdím co nejdřív, obvykle do několika pracovních dnů, a budu tě informovat o postupu. Opravu zveřejním jako novou verzi a dám vědět dotčeným uživatelům, jak aktualizovat. Nenabízím finanční odměny. Poděkování ti ale rád uvedu, pokud budeš chtít.

Jak je web zabezpečen

• Je to statická stránka: bez databáze, bez přihlašování, bez formulářů a bez cookies.
• Přísná bezpečnostní politika prohlížeče (CSP) dovolí načítat jen soubory z tohoto webu. Nic z cizích serverů.
• Další ochranné hlavičky proti vkládání do cizích stránek, hádání typu souboru a zbytečnému předávání údajů.

Bezpečnostní vlastnosti aplikací

• Vnitřní kompas nemá na Androidu oprávnění k internetu a ve Windows má síť zablokovanou. Odpovědi uživatele zůstávají jen v jeho zařízení.
• Aplikace nemá účty, analytiku ani automatické stahování dalšího kódu.

Kontaktní údaje pro automatické nástroje najdeš také v souboru /.well-known/security.txt.