Biztonsági sérülékenység-bejelentési szabályzat
Hatályos: 2026. szeptember 10-től
1. Cél és elkötelezettség
A Pulse (Sas László E.V.) kiemelten kezeli a felhasználók, az oktatási adatok és a rendszerinfrastruktúra biztonságát. Elkötelezettek vagyunk amellett, hogy a külső biztonsági kutatók által azonosított sérülékenységeket gyorsan, átláthatóan és felelősségteljesen kezeljük.
Amennyiben úgy véled, hogy biztonsági rést vagy hiányosságot találtál a Pulse rendszereiben, kérjük, hozd azt a tudomásunkra a jelen szabályzatban leírtak szerint.
2. A szabályzat hatóköre
Hatókörbe tartozó rendszerek
- A Learnx mobilalkalmazás (iOS / Android kódkészlet)
- A Pulse hivatalos backend API-jai és Cloud Functions végpontjai
- A Firebase infrastruktúra beállításai és Firestore biztonsági szabályai (Security Rules)
- A hivatalos webes felületek (*.trypulse.hu)
Hatókörön kívüli rendszerek és tesztek
- Harmadik féltől származó szolgáltatások és API-k (pl. Google / Firebase alapvető infrastruktúrája, Anthropic API, Google Gemini API, Paddle, Stripe) — ezeket az adott szolgáltató saját Bug Bounty / VDP programján keresztül kell jelenteni
- Hálózati DoS / DDoS támadások
- Spam vagy automatizált tömeges kérések küldése a felületeinkre
- Social Engineering a Pulse fejlesztői, oktatói vagy diákjai ellen
- Fizikai támadások a fejlesztők vagy az infrastruktúra ellen
3. A felelős bejelentés szabályai (Coordinated Disclosure)
A jogi védelem (Safe Harbor) igénybevételéhez a kutatónak az alábbi elveket kell követnie a tesztelés és bejelentés során:
- Adatvédelem és adatintegritás: Tilos más felhasználók (diákok, tanárok) személyes adataihoz hozzáférni, azokat módosítani, törölni vagy letölteni. Amennyiben a tesztelés során személyes adathoz férsz hozzá, azonnal állítsd le a tesztet, és jelentsd a hibát.
- Károkozás kerülése: Kizárólag saját hozott tesztfiókokat használj. Ne tegyél kárt a szolgáltatás működésében vagy az adatbázisban.
- Titoktartás (Non-Disclosure): Kérjük, ne hozd nyilvánosságra a sérülékenység részleteit mindaddig, amíg a Pulse csapata nem vizsgálta ki azt, és nem biztosított javítást (vagy nem telt el a bejelentéstől számított 90 nap).
- Közvetlen kapcsolat: A bejelentést kizárólag a contact@trypulse.hu e-mail címre küldd meg.
4. A bejelentés menete és formátuma
A bejelentésnek az alábbi információkat kell tartalmaznia a hatékony kivizsgáláshoz:
- Típus: A sérülékenység megnevezése és kategóriája (pl. OWASP Mobile Top 10, hibás Firestore Security Rule, jogosulatlan API hozzáférés)
- Lépések a reprodukáláshoz (Proof of Concept): Egyértelmű, lépésről lépésre követhető leírás vagy szkript, amellyel a hiba újraelőidézhető
- Kritikusság: A hiba becsült hatása és kockázata (pl. CVSS pontszám vagy szöveges indoklás)
- Képernyőképek / naplók: Amennyiben releváns (személyes adatokat kitakarva)
5. A Pulse kötelezettségvállalása
A bejelentést követően a Pulse üzemeltetője az alábbiakat garantálja:
- Visszajelzés: A bejelentés beérkezését 2 munkanapon belül visszaigazoljuk.
- Értékelés: A hiba súlyosságát és javítási ütemtervét 5 munkanapon belül egyeztetjük a bejelentővel.
- Javítás: A kritikusságtól függően a lehető leggyorsabban elhárítjuk a problémát.
- Elismerés: A bejelentő kérésére — sikeres és felelősségteljes bejelentést követően — feltüntetjük a nevét/profilját a Pulse biztonsági köszönetnyilvánítási listáján (Hall of Fame).
6. Jogi nyilatkozat (Safe Harbor)
Amennyiben a biztonsági kutató a jelen szabályzatban foglaltak szerint, jóhiszeműen jár el a tesztelés és bejelentés során:
- A Szolgáltató nem kezdeményez jogi eljárást (polgári vagy büntetőjogi lépéseket) a kutatóval szemben a rendszerekbe történő behatolás miatt.
- A Szolgáltató a tevékenységet engedélyezett biztonsági tesztelésnek tekintheti a magyar Btk. és a kapcsolódó IT-biztonsági jogszabályok értelmében.
Lásd is: /.well-known/security.txt (RFC 9116)