Zasady zgłaszania podatności

Wersja: 1.1 · Obowiązuje od: 28 października 2026 r.

Z zadowoleniem przyjmujemy zgłoszenia od badaczy bezpieczeństwa i użytkowników, którzy znajdą podatność w Mailistix. Niniejsze zasady wyjaśniają, jak zgłosić podatność, co wolno, a czego nie wolno robić podczas badań oraz czego mogą Państwo od nas oczekiwać.

1. Zakres

Objęte zakresem:

• aplikacja desktopowa Mailistix dla macOS i Windows, w najnowszej opublikowanej wersji;
• Usługi chmurowe Mailistix prowadzone przez nas, czyli funkcje serwerowe i interfejsy, które wywołuje aplikacja;
• mailistix.com oraz jego subdomeny prowadzone przez nas.

Poza zakresem:

• usługi prowadzone przez osoby trzecie (na przykład Google, Microsoft, własna platforma Supabase, Polar, Cloudflare, Sentry, PostHog). Zgłoszenia dotyczące tych usług należy kierować do właściwego dostawcy;
• ustalenia, które wymagają fizycznego dostępu do odblokowanego urządzenia, urządzenia po jailbreaku lub rootowaniu albo już przejętego konta systemu operacyjnego;
• testy odmowy usługi (denial-of-service), testy obciążeniowe, spam, socjotechnika i ataki fizyczne;
• zgłoszenia z automatycznych skanerów bez wykazanego wpływu; brak nagłówków zalecanych w dobrych praktykach, jeżeli nie wykazano konkretnego exploita; self-XSS; clickjacking na stronach bez wrażliwych czynności; uwagi dotyczące limitów liczby żądań (rate limit) bez wpływu na bezpieczeństwo.

2. Jak zgłaszać

Prosimy o przesłanie wiadomości e-mail na adres legal@mailistix.com z tematem rozpoczynającym się od Security:, w języku angielskim lub niemieckim. Nasz plik security.txt podaje ten sam kontakt. Prosimy o podanie:

• komponentu, którego dotyczy podatność (aplikacja desktopowa wraz z systemem operacyjnym i wersją albo punkt końcowy);
• wpływu oraz kroków lub dowodu koncepcji (proof of concept) umożliwiających odtworzenie podatności;
• informacji, czy podatność według Państwa jest wykorzystywana;
• sposobu, w jaki możemy się z Państwem skontaktować.

Prosimy nie dołączać cudzych wiadomości e-mail, haseł ani tokenów. Jeżeli zgłoszenie wymaga materiałów wrażliwych, prosimy o poinformowanie nas, a uzgodnimy bezpieczny sposób ich przekazania.

3. Zasady prowadzenia badań

Prowadząc badania, muszą Państwo:

• korzystać wyłącznie z kont i skrzynek pocztowych, których są Państwo właścicielami lub do używania których zostali Państwo wyraźnie upoważnieni;
• nie uzyskiwać dostępu do danych, które nie należą do Państwa, ani ich nie kopiować, nie zmieniać i nie usuwać; jeżeli przypadkowo uzyskają Państwo dostęp do takich danych, należy zaprzestać działań, nie zachowywać tych danych i poinformować nas;
• nie pogarszać działania usługi dla innych (bez ataków typu odmowa usługi, bez masowej automatyzacji i bez ataków siłowych (brute force) na konta innych użytkowników);
• nie wykorzystywać Funkcji AI do wydobywania danych innych użytkowników ani do atakowania osób trzecich;
• nie wykorzystywać ustalenia w zakresie wykraczającym poza to, co niezbędne do jego wykazania;
• dać nam rozsądny czas na usunięcie problemu przed jego ujawnieniem (sugerujemy 90 dni lub krócej, jeżeli tak uzgodnimy) oraz skoordynować z nami publikację.

4. Bezpieczna przystań

Jeżeli działają Państwo w dobrej wierze i przestrzegają niniejszych zasad, uznamy Państwa badania za dozwolone, nie będziemy dochodzić wobec Państwa roszczeń na drodze cywilnej ani składać z tego tytułu zawiadomienia do organów ścigania, a w związku z tymi badaniami nie będziemy powoływać się wobec Państwa na postanowienia naszych Warunków ani EULA zakazujące obchodzenia zabezpieczeń lub inżynierii wstecznej. Jeżeli osoba trzecia podejmie przeciwko Państwu kroki prawne z powodu badań prowadzonych zgodnie z niniejszymi zasadami, podamy do wiadomości, że Państwa działania były przez nas dozwolone. Niniejsza bezpieczna przystań nie obejmuje działań sprzecznych z prawem, a my nie możemy zezwolić na testowanie systemów osób trzecich.

5. Czego mogą Państwo od nas oczekiwać

• Potwierdzamy otrzymanie zgłoszenia w ciągu 5 dni roboczych.
• Na bieżąco informujemy Państwa o naszej ocenie i o usunięciu podatności.
• Jeżeli Państwo sobie tego życzą, wymieniamy Państwa jako zgłaszającego w naszych informacjach o wydaniach (release notes).
• Nie ujawniamy Państwa tożsamości osobom trzecim bez Państwa zgody, chyba że wymaga tego prawo.
• Jeżeli podatność dotyczy komponentu osoby trzeciej, możemy przekazać tej osobie trzeciej szczegóły techniczne, aby mogła ją usunąć.
• Jeżeli wymaga tego prawo, w szczególności art. 14 aktu o cyberodporności (rozporządzenie (UE) 2024/2847), aktywnie wykorzystywane podatności zgłaszamy właściwym organom (CSIRT pełniącemu rolę koordynatora oraz ENISA).
• Dane osobowe zawarte w Państwa zgłoszeniu wykorzystujemy wyłącznie do obsługi zgłoszenia i usunięcia podatności, jak opisano w naszej Polityce prywatności.
• Obecnie nie prowadzimy płatnego programu bug bounty.

6. Incydenty bezpieczeństwa dotyczące Państwa danych

Jeżeli korzystają Państwo z Mailistix i uważają, że bezpieczeństwo Państwa konta lub danych zostało naruszone, prosimy o niezwłoczny kontakt pod adresem legal@mailistix.com. Sposób postępowania w przypadku naruszeń ochrony danych osobowych opisujemy w naszej Polityce prywatności.