Sikkerhet og ansvarlig varsling

Har du funnet et sikkerhetshull hos oss, vil vi gjerne høre fra deg.

1. Innenfor omfanget

• app.byggvekst.no, både nettappen og API-et
• byggvekst.no
• Byggvekst Appen for iPhone og Android

2. Utenfor omfanget

• Tjenestenekt (DoS og DDoS) og lasttesting
• Sosial manipulering av ansatte, kunder eller partnere, også phishing
• Fysiske angrep mot kontor, utstyr eller personer
• Automatiserte skannere som sender mange forespørsler
• Tjenester fra tredjeparter vi bruker, som Stripe, Resend, Google og Apple. Meld fra direkte til leverandøren.
• Funn uten konkret angrep, for eksempel et manglende sikkerhetshode alene

3. Regler for testing

• Bruk bare kontoer du selv har opprettet. Prøveperioden er gratis.
• Ikke se på, endre eller slette andres data. Kommer du over andres data, stopp og meld fra.
• Hent ikke ut mer data enn du trenger for å vise funnet.
• Hold trafikken lav, og ikke gjør noe som forstyrrer driften for kundene våre.
• Ikke del funnet med andre før vi har rettet det, eller 90 dager har gått.

4. Slik rapporterer du

Send e-post til support@byggvekst.no med «Sikkerhet» i emnefeltet. Norsk og engelsk går like fint.

Rapporten bør ha med:

• Hvilken adresse, side eller app-versjon det gjelder
• Steg for å gjenskape funnet
• Hva en angriper kan få til
• Bevis, som skjermbilder, forespørsler eller en kort video
• Om du vil stå på takkelisten, og med hvilket navn

5. Hva vi lover

• Vi bekrefter at vi har fått rapporten innen 3 virkedager.
• Du får en første vurdering innen 10 virkedager.
• Vi holder deg oppdatert og sier fra når funnet er rettet.

Trygg havn

Tester du i god tro og etter reglene på denne siden, regner vi testingen som godkjent. Da anmelder vi deg ikke og går ikke rettslig til verks.

Dette gjelder ikke hvis du bryter reglene, for eksempel ved å hente ut eller dele andres data.

Vi har ikke dusørprogram, men vi takker gjerne offentlig.

6. Takkeliste

Her takker vi dem som har gjort Byggvekst tryggere. Listen er tom ennå, så du kan bli den første.

7. For verktøy

Kontaktinfo i maskinlesbar form ligger i security.txt.