En offentlig kanal och en fungerande process för sårbarhetsrapporter utifrån: policy, security.txt, mottagning, triagering och samordnad sårbarhetsrapportering.
Förr eller senare hittar någon utanför företaget en sårbarhet i din produkt. Vad som händer sedan beror på om personen hittar en adress att skriva till och på om någon svarar. Där det inte finns någon kanal hamnar rapporten i en supportinkorg, i sociala medier eller ingenstans alls.
Ett program för sårbarhetsrapportering är miniminivån: en publicerad policy som anger hur en sårbarhet rapporteras och vad den som rapporterar kan förvänta sig, en inkorg som läses och en process som tar en rapport från mottagandet till en åtgärd. Programmet betalar inga belöningar och behöver ingen plattform. EU:s cyberresiliensakt gör en policy för samordnad sårbarhetsrapportering obligatorisk för tillverkare av produkter med digitala element: rapporteringen av aktivt utnyttjade sårbarheter gäller från den 11 september 2026, hela uppsättningen skyldigheter från den 11 december 2027.
01Omfattning
Vad vi testar
Policy för sårbarhetsrapportering: omfattning, regler, safe harbour (ditt åtagande att inte vidta rättsliga åtgärder mot säkerhetsforskare som följer reglerna), tidsplan för offentliggörande
security.txt enligt RFC 9116, med bevakning av utgångsdatumet
Mottagningskanal: särskild e-postlåda eller särskilt formulär, krypteringsnyckel, bekräftelse på mottagandet
Rutin för triagering: återskapande, bedömning av allvarlighetsgrad, deduplicering
Intern hantering enligt ISO/IEC 30111: ansvar, tidsfrister, eskalering
Kommunikation med dem som rapporterar och samordnad publicering
Säkerhetsmeddelanden och CVE-identifierare för sårbarheter i dina produkter
Rapporteringsskyldigheter enligt cyberresiliensakten och NIS2, där de gäller
02Arbetssätt
Så utförs arbetet
01
Policy
Vi tar fram policyn tillsammans med din juridiska avdelning. Formuleringen om safe harbour följer den text som säkerhetsforskarna känner igen, anpassad till din jurisdiktion av dina jurister.
02
Kanal
Mottagningskanalen och security.txt sätts upp och testas utifrån, så som en säkerhetsforskare skulle hitta dem.
03
Process
Roller, tidsfrister och eskalering skrivs ned och övas på en testrapport innan policyn publiceras.
04
Drift
Om du vill sköter vi mottagningen: vi bekräftar mottagandet, återskapar, bedömer och lämnar bekräftade rapporter till dina utvecklare.
Poäng och vektor för allvarlighetsgraden hos varje fynd.
FIRST
06Frågor
Frågor om den här tjänsten
Någon har skickat oss en sårbarhetsrapport och ber om pengar. Vad gör vi?
Betala inte under press och hota inte. Bekräfta mottagandet, be om de tekniska detaljerna och verifiera påståendet. De flesta oombedda rapporter kommer från säkerhetsforskare som agerar i god tro, en del är automatiserat brus och några få är utpressning. Vi verifierar rapporten, bedömer hur allvarlig den är och hjälper dig att svara; begär det via formuläret på den här webbplatsen och nämn att en rapport väntar på svar.
Vad är skillnaden mellan ett program för sårbarhetsrapportering och bug bounty?
Ett program för sårbarhetsrapportering tar emot rapporter och lovar rättvis behandling. Bug bounty lägger till betalning och bjuder därmed in till aktivt letande. Det första är en grundnivå för varje företag med en produkt på internet, det andra är ett beslut om budget och beredskap.
Utsätter en klausul om safe harbour oss för risk?
Den förpliktar dig att inte vidta rättsliga åtgärder mot personer som följer dina regler. Den ger inget tillstånd till något utanför de reglerna och binder inte tredje parter eller åklagare. Texten granskas av dina jurister före publiceringen.