Hlášení zranitelností

Jak chybu nahlásit

Napište na info@solarventil.cz s předmětem „Zranitelnost“. Česky nebo anglicky.

• Čeho se chyba týká – adresa, část aplikace, verze firmwaru nebo programu.
• Jak ji zopakovat – postup krok za krokem, případně ukázka požadavku nebo snímek obrazovky.
• Co tím lze způsobit – jaká data nebo funkce jsou ohrožené.
• Jak vás kontaktovat a zda chcete být po opravě jmenováni.

Do e-mailu prosím nevkládejte cizí osobní údaje ani hesla. Pokud jste k nim při hledání chyby přišli, napište jen, že to možné je.

Co od nás můžete čekat

Potvrzení

do 3 pracovních dnů od přijetí hlášení

Posouzení

do 10 pracovních dnů – zda jde o zranitelnost, jak je závažná a jaký je další postup

Oprava

závažné chyby co nejdřív, ostatní zpravidla do 90 dnů; o průběhu vás průběžně informujeme

Zveřejnění

po vydání opravy, po dohodě s vámi; oprava se uvede v poznámkách k vydání firmwaru nebo aplikace

Poděkování

pokud si přejete, uvedeme vaše jméno u opravy

Kdo hledá chyby v dobré víře a drží se pravidel níže, proti tomu nepodnikneme právní kroky.

Čeho se hlášení týká

• SolarVentil Cloud – web a aplikace na solarventil.cz, přihlášení, API, upozornění.
• Firmware SolarVentil pro regulace, včetně místní webové stránky regulace a aktualizací na dálku.
• Firmware nástěnného displeje a program SolarVentil Flasher.
• Návrhy desek SV1 a SV4 – chyby návrhu, které ohrožují bezpečnost.

Chyby v zařízeních, programech a službách jiných výrobců hlaste prosím jejich výrobci.

Pravidla

• Zkoušejte jen na vlastním účtu a vlastní regulaci, nebo s výslovným souhlasem jejich vlastníka.
• Nečtěte, neměňte ani nemažte cizí data; jakmile chybu potvrdíte, dál nepokračujte.
• Nezatěžujte server (žádné zahlcení, hromadné zkoušení hesel) a neohrožujte provoz regulací – řídí topení a ohřev vody.
• Nepoužívejte sociální inženýrství vůči zákazníkům ani nám.
• Chybu nezveřejňujte, dokud není opravená, nebo dokud se nedohodneme jinak.

Jak je SolarVentil zabezpečený

• Každá regulace má vlastní heslo, žádné společné výchozí heslo neexistuje.
• Regulace komunikuje s cloudem šifrovaně (TLS) a ověřuje certifikát serveru.
• Aktualizace firmwaru se stahují jen šifrovaně z časově omezeného podepsaného odkazu a před nahráním se kontroluje jejich neporušenost.
• Účty chrání silná hesla, volitelné dvoufázové ověření a omezení počtu pokusů o přihlášení.
• Data regulace vidí jen její vlastník a jím určený servisní technik.

Strojově čitelný kontakt: /.well-known/security.txt (RFC 9116). Ochrana osobních údajů: zásady zpracování.