Намери ли дупка,
кажи ни.

Как да докладваш

Пиши на navivolta.app@gmail.com със заглавие, което започва с SECURITY. Опиши какво си намерил, как се възпроизвежда и какво според теб може да се случи. Ако имаш екранна снимка или запис — прикачи ги, но замажи чуждите данни.

Същият адрес стои и в /.well-known/security.txt (RFC 9116).

Какво обещаваме

• Потвърждение до 5 работни дни, че сме получили писмото — от човек, не автоматично.
• Оценка до 14 дни: дали го потвърждаваме, колко е сериозно и какво смятаме да направим.
• Да те държим в течение, докато се поправи, и да ти кажем кога е излязла поправката.
• Да те споменем като откривател, ако искаш — или да не те споменаваме, ако предпочиташ.
• Да не предприемаме правни действия срещу теб, ако си спазил правилата отдолу.

Награди за намерени уязвимости засега няма — проектът е един човек без приходи. Казваме го честно, вместо да мълчим.

Правилата

• Работи само със свои данни и свой акаунт. Не пипай данните на други тестери.
• Не претоварвай услуги — нито нашите, нито на доставчиците ни (карти, зарядни оператори).
• Не ползвай социално инженерство срещу хора и не искай пароли.
• Не публикувай проблема, преди да сме го поправили или преди да минат 90 дни от доклада — което настъпи първо. Ако е сериозно и не отговаряме, кажи ни, че ще публикуваш.
• Не искай пари, за да ни кажеш какво си намерил.

Какво влиза в обхвата

• Приложението NaviVolta за Android (текущата тестова версия в Google Play).
• Сайтът navivolta.app.
• Начинът, по който се пазят и предават данните — включително каквото приложението изпраща към картовия доставчик и операторите на зарядни.

Извън обхвата: системите на Google, Mapbox, Cloudflare и операторите на зарядни станции — техните проблеми се докладват на тях. Ако сме сбъркали в тяхната настройка, това е наш проблем и искаме да го чуем.

Ако проблемът вече се използва

Напиши го в първото изречение. Активно използвана уязвимост се докладва и по Регламента за киберустойчивост (ЕС) 2024/2847 в кратки срокове, затова ни трябва веднага — не в края на седмицата.

Какво правим ние

Списъкът на библиотеките в приложението (SBOM) и проверката им срещу базата с известни уязвимости се пускат редовно; проверката е част от нашия тестов гейт и пада, ако са минали повече от 30 дни или ако е влязла непроверена библиотека.

Приложението е в ранна Alpha версия. Това не е извинение за дупка в сигурността — просто означава, че поправката понякога идва с новата версия, а не в същия ден.