Policy för rapportering av sårbarheter

Banger Mail välkomnar säkerhetsforskning i god tro. Om du tror att du har hittat en sårbarhet i Banger Mail, mejla security@team.bangermail.com. Ange berörd värd eller applikation, steg för att återskapa problemet, förväntad påverkan och eventuella loggar eller skärmbilder som hjälper oss att förstå problemet. Vi publicerar för närvarande ingen PGP-nyckel; undvik att skicka onödiga hemligheter, personuppgifter eller brevlådeinnehåll.

Så rapporterar du

Skicka om möjligt en rapport per problem. Ge oss tillräckligt med information för att säkert återskapa beteendet och ange om du tror att problemet utnyttjas aktivt. Avsluta testningen när du har tillräckliga bevis för att demonstrera sårbarheten.

Tillämpningsområde

Omfattas:

• app.bangermail.com, Bangers webbapp;
• api.bangermail.com, Bangers API, inklusive MCP-servern på api.bangermail.com/mcp och dess OAuth-ändpunkter;
• auth.muchbetterapps.com, inloggningstjänsten som Banger använder (den behåller vårt tidigare företagsnamn);
• cloud.bangermail.com, som hanterar anslutningar till Google-brevlådor; och
• bangermail.com, den offentliga webbplatsen, inklusive dess kostnadsfria verktyg.

Rapporter som rör autentisering, OAuth och agentbehörigheter, API-nycklar, MCP-verktygsbehörigheter, åtkomst mellan arbetsytor, e-postroutning, sändning från en annan kunds domän, skydd av brevlådedata eller exponerade känsliga data är särskilt värdefulla.

Utanför tillämpningsområdet

Omfattas inte: överbelastningsattacker eller automatiserad testning med hög volym, social manipulation, fysiska angrepp, kontoövertagande genom återanvända lösenord och sårbarheter som endast finns i tredjepartstjänster som inte drivs av BangerMail Inc. Skicka inte spam eller nätfiske, testa inte läckta inloggningsuppgifter i stor skala, behåll inte åtkomst, för inte ut data och läs inte mer data än vad som behövs för att bevisa problemet.

Servicenivå för mottagningsbekräftelse

Vi bekräftar mottagandet av rapporter inom tillämpningsområdet inom 3 arbetsdagar och kan begära ytterligare uppgifter under utredningen. Vi prioriterar rapporter utifrån sannolik påverkan på användare, hur lätt problemet kan utnyttjas och om det verkar påverka brevlådedata eller kontoåtkomst.

Rättsligt skydd

Vi betraktar forskning i god tro inom denna policy som tillåten. Om du håller dig inom tillämpningsområdet, undviker integritetsskador och tjänsteavbrott, omgående rapporterar oavsiktlig åtkomst och inte behåller eller delar data, kommer vi inte att vidta rättsliga åtgärder för den forskningen.

Samordnad offentliggörelse

Vår standardfrist för samordnad offentliggörelse är 90 dagar efter mottagningsbekräftelsen, om vi inte gemensamt kommer överens om annat eller aktivt utnyttjande kräver snabbare åtgärder. Detta är inte ett betalt program för sårbarhetsbelöningar.