Последнее обновление A domain ordered with hosting is checked, priced and registered

GitHub59 Начало работы Демо
RU

Безопасность

PNLCS работает с биллингом, учётными данными клиентов и платёжными интеграциями реальных хостинг-компаний. Уязвимость может затронуть счета, данные клиентов и платежи.

Сообщить об уязвимостиПолная политика безопасности

После отправки сообщения

Пожалуйста, не создавайте публичную задачу, обсуждение или тему на форуме о проблеме безопасности.

Чего ожидать

  1. В течение 48 часов

    Подтверждение получения

    Вы получаете подтверждение, что сообщение дошло.

  2. В течение 5 рабочих дней

    Разбор

    Первичная оценка и уровень серьёзности.

  3. Еженедельно

    Информация о статусе

    Для критических проблем чаще.

  4. Обычно 14 дней

    Выпуск исправления

    Для критических проблем, считая с момента подтверждения.

  5. 90 дней

    Раскрытие

    Стандартный срок, обсуждается.

Входит в область действия

  • Приложение: раздел администратора, личный кабинет клиента, API, обработчики очередей, задачи по расписанию
  • Аутентификация, роли, сеансы и токены
  • Интеграции с платёжными шлюзами, регистраторами и серверами
  • Шаблоны и представления в стандартных темах
  • Скрипты установки и обновления, опубликованные в репозитории

Не входит в область действия

  • Атаки, требующие физического доступа или доступа уровня root
  • Дефекты в сторонних пакетах (сообщайте о них их авторам)
  • Self-XSS или отсутствующие заголовки без реального сценария атаки
  • Результаты автоматических сканеров без подтверждённых последствий
  • Демо- и тестовые экземпляры, которые работают у Panelica
  • Форки и изменённые копии

Встроенная защита

Что PNLCS делает для безопасности установки и что стоит проверить после установки.

Чек-лист безопасности
Ролевой доступ
Более 45 детальных прав для сотрудников.
Двухфакторная аутентификация
Для сотрудников и клиентов, с кодами восстановления для сотрудников.
Ограничение частоты запросов
Вход, 2FA, сброс пароля и повторная отправка писем.
Журнал действий
Каждое действие администратора записывается.
Изолированные инструменты хостинга
Каждое действие с файлами, DNS, cron и резервными копиями проверяется на соответствие собственным доменам клиента.
Защищённый провижининг
На Proxmox PNLCS работает только с машинами, которые он сам создал и пометил.

У нас нет платной программы bug bounty, но исследователей можно упомянуть в бюллетене и журнале изменений. Мы не будем преследовать добросовестные исследования, выполненные в соответствии с политикой.