1. Ce acoperă
Politica acoperă site-ul cybertenant.ro și platforma cyberTENANT: aplicația, agentul AI, componentele care colectează jurnalele și pachetele de instalare, în ambele variante de livrare. Dacă vulnerabilitatea privește alt produs sau serviciu certSIGN, trimite-o tot la adresa de mai jos; o predăm noi echipei certSIGN responsabile.
2. Cum ne raportezi
Scrie-ne la cybertenant@certsign.ro, cu un subiect care începe cu „Vulnerabilitate”. Poți scrie în română sau în engleză. Ne ajută să găsim în mesaj:
- componenta afectată și versiunea ei sau, pentru site, adresa paginii;
- pașii prin care reproducem problema;
- ce poate face un atacator cu această vulnerabilitate, așa cum o vezi tu;
- dovezile: capturi de ecran, cererile și răspunsurile relevante;
- cum te putem contacta și dacă vrei să te menționăm când publicăm remedierea.
Nu ne trimite date personale ale altor oameni și nici date ale clienților noștri. Dacă detaliile sunt sensibile, trimite-ne mai întâi un mesaj scurt, fără detalii, și stabilim împreună un canal criptat.
3. Ce facem după ce primim raportul
- Îți confirmăm primirea în cel mult 3 zile lucrătoare.
- În cel mult 10 zile lucrătoare îți spunem dacă am reprodus problema și cât de gravă o considerăm.
- Te ținem la curent până la remediere și îți spunem când este gata.
- Stabilim împreună când se publică detaliile. Termenul obișnuit este de 90 de zile de la raport. Dacă vulnerabilitatea este deja folosită în atacuri, ne mișcăm mai repede.
- Anunțăm clienții afectați și, acolo unde legea o cere, raportăm autorităților competente vulnerabilitățile exploatate activ.
- Dacă vrei, te menționăm în nota de securitate care însoțește remedierea.
4. Reguli pentru testare
Testează doar ce ai dreptul să testezi: site-ul cybertenant.ro și o instalare a platformei care îți aparține sau pe care ai acordul scris al proprietarului să o testezi. Când testezi:
- nu face atacuri de blocare a serviciului (DoS) și nici teste de încărcare;
- nu trimite prin formularul de contact mai mult de câteva mesaje de test;
- nu încerca inginerie socială sau phishing asupra angajaților certSIGN sau asupra clienților noștri și nu încerca să intri fizic în clădirile noastre;
- nu accesa, nu modifica și nu șterge date care nu îți aparțin; dacă ajungi la astfel de date, oprește-te, nu le păstra și spune-ne;
- folosește vulnerabilitatea doar cât îți trebuie ca să o demonstrezi;
- nu testa infrastructura furnizorilor noștri (Cloudflare, Microsoft); ce găsești la ei raportează-le direct lor.
5. Cercetarea făcută cu bună-credință
Dacă respecți regulile de mai sus, acționezi cu bună-credință și ne dai timp să remediem înainte să publici, nu depunem plângere și nu inițiem acțiuni în justiție împotriva ta pentru această cercetare. Dacă un terț acționează împotriva ta pentru o cercetare făcută după aceste reguli, confirmăm public că ai respectat politica noastră.
6. Ce nu tratăm ca vulnerabilitate
- rapoarte generate automat de un scaner, fără o problemă demonstrată;
- lipsa unor setări de securitate (de exemplu, anteturi HTTP) fără un impact pe care să ni-l arăți;
- atacuri care cer acces fizic la dispozitivul victimei sau un dispozitiv deja compromis;
- vulnerabilități în produsele altor producători, pe care le raportezi producătorului lor.
Nu avem un program de recompense (bug bounty), dar îți mulțumim public pentru raport, dacă vrei.
Adresa de contact este publicată și în fișierul standard security.txt (RFC 9116).
Ultima actualizare: 6 octombrie 2026.