Ansvarsfull sårbarhetsrapportering

Senast uppdaterad: 20 oktober 2026

1. Inledning

Människor anförtror oss sina egna uppgifter, sin handstil samt namn och adresser på dem de skriver till. Om du tror att du har hittat en säkerhetssårbarhet i Snailgram vill vi gärna veta det. Den här policyn förklarar hur du rapporterar en, vilka regler vi ber dig följa medan du letar och vad vi gör i gengäld.

Den publiceras av AWS, CYY & Co. Pty Ltd (ACN 686 116 245) som förvaltare för Mumu, Lulu & Co. (ABN 54 837 123 965), som driver Snailgram.

Vi har inget betalt bug bounty-program och betalar inga belöningar för rapporter. Med ditt tillstånd tackar vi dig med namn på den här sidan när problemet är åtgärdat.

2. Omfattning

Den här policyn omfattar:

• vår webbplats på snailgram.com.au, inklusive kortstudion och kassan,
• tjänsterna bakom den som skapar omslag, lagrar designer och handstilsprover samt tar emot beställningar, och
• de mejl vi skickar om beställningar.

Den omfattar inte tjänster som drivs av andra och som vi använder, till exempel Square, Australia Post, Amazon Web Services, Fastmail eller Google. Rapportera problem i dem till respektive leverantör.

3. Så rapporterar du

Mejla support@snailgram.com.au med ”Security” i ämnesraden. Ta gärna med:

• en beskrivning av problemet och den påverkan du tror att det har,
• vilken sida, slutpunkt eller funktion som berörs,
• steg-för-steg-instruktioner för att återskapa det, med eventuell proof-of-concept-kod, skärmbilder eller förfrågningar, och
• hur vi kan nå dig, och om du vill bli tackad med namn.

Om du hittar en exponerad nyckel, ett lösenord eller någon annan hemlighet, berätta direkt för oss och använd den inte. Skriv gärna på engelska om du kan.

4. Vad vi ber dig göra

När du letar efter och rapporterar en sårbarhet måste du:

• bara testa med beställningar, designer och handstilsprover som är dina egna, eller som du har ägarens tillstånd att använda,
• sluta så snart du når personuppgifter, meddelanden, adresser eller handstil som inte är dina, och berätta för oss vad du fick åtkomst till. Kopiera, behåll, ändra eller radera det inte, och dela det inte med någon,
• inte försämra eller störa webbplatsen, inklusive genom överbelastningsattacker, belastningstester eller automatiserad skanning i stor skala,
• inte beställa kort till någon utan deras samtycke, eller kontakta våra kunder, de som de skriver till eller vårt team,
• inte använda social manipulation, nätfiske eller fysiska attacker mot vårt team, våra lokaler eller våra leverantörer,
• inte använda någon annans betalkort eller betaluppgifter,
• bara göra det som behövs för att visa att sårbarheten finns,
• hålla detaljerna konfidentiella tills vi har åtgärdat problemet, eller tills 90 dagar efter din rapport, beroende på vilket som inträffar först, om vi inte kommer överens om något annat med dig, och
• följa lagen.

5. Vad vi gör

När du rapporterar en sårbarhet enligt den här policyn kommer vi att:

• bekräfta din rapport inom 2 arbetsdagar,
• berätta om vi kan återskapa problemet och hålla dig uppdaterad om hur det går,
• sträva efter att åtgärda en bekräftad sårbarhet inom 90 dagar, och snabbare om den utsätter personuppgifter för risk, och
• berätta när problemet är åtgärdat, och tacka dig med namn om du har bett om det.

Om problemet rörde personuppgifter bedömer vi det och underrättar de berörda och Office of the Australian Information Commissioner, så som avsnitt 11 i vår integritetspolicy beskriver.

6. Skyddad hamn

Om du agerar i god tro och följer den här policyn behandlar vi din forskning som auktoriserad, vidtar inga rättsliga åtgärder mot dig för den och anmäler dig inte till rättsvårdande myndigheter. Om någon annan vidtar rättsliga åtgärder mot dig för forskning som följt den här policyn gör vi det känt att vi auktoriserade den.

Det här gäller inte om du har brutit mot den här policyn, fått åtkomst till mer än du behövde eller begärt betalning mot att inte avslöja ett problem. Om du är osäker på om något du planerar att göra är tillåtet, fråga oss först på support@snailgram.com.au.

7. Vad vi inte betraktar som en sårbarhet

Följande faller i allmänhet utanför den här policyn, om du inte kan visa en verklig påverkan på säkerheten för webbplatsen eller de som använder den:

• rapporter från automatiska skannrar utan ett fungerande proof of concept,
• saknade säkerhetshuvuden, cookie-flaggor eller poster för e-postautentisering (SPF, DKIM, DMARC) i sig,
• clickjacking på sidor utan någon åtgärd som kan orsaka skada,
• self-XSS, eller problem som kräver fysisk åtkomst till någons olåsta enhet,
• att få omslagsgeneratorn att skapa en oväntad eller olämplig bild, om det inte avslöjar någon annans uppgifter eller kringgår betalning,
• avslöjande av programvaruversion, eller saknade begränsningar av antalet anrop för åtgärder utan säkerhetskonsekvens, och
• överbelastningsattacker, och sårbarheter i de tredjepartstjänster som anges i avsnitt 2.

8. Ändringar av den här policyn

Vi kan ändra den här policyn genom att publicera en ny version på den här sidan och uppdatera datumet högst upp. Den version som är publicerad när du gör en rapport gäller för den rapporten.