Hvad politikken dækker
Den gælder for auroa.dk og subdomæner, vores værktøjer (DMARC-, DKIM- og SPF-tjekket), CVE-databasen, bookingsystemet og den infrastruktur, vi selv drifter. Den gælder ikke for kunders systemer, som vi overvåger eller har adgang til; en fejl hos en kunde skal rapporteres til kunden, og vi hjælper gerne med at finde den rigtige kanal.
Reglerne, i begge retninger
Det, vi beder om:
- Stop, når fejlen er påvist. Hent ikke mere data, end der skal til for at vise, at den findes, og slet det, I har hentet, når rapporten er sendt.
- Ingen tests, der kan ramme driften: ingen overbelastning, ingen spam, ingen social engineering mod medarbejdere, ingen fysisk adgang.
- Ingen deling med andre, før vi har rettet, eller før 90 dage er gået, hvis vi ikke har rettet.
- Én rapport pr. fejl, med nok til at gentage den: URL, trin, forventet og faktisk resultat, og gerne et skærmbillede eller en kort optagelse.
Det, vi lover:
- Svar inden for to hverdage, fra en person, med et sagsnummer.
- En vurdering inden for fem hverdage: er det en sårbarhed, hvor alvorlig, hvad gør vi.
- Rettelse inden for 30 dage for alvorlige fejl og 90 dage for resten, eller en forklaring, hvis det tager længere.
- Ingen politianmeldelse og ingen retslige skridt mod nogen, der følger reglerne ovenfor og rapporterer i god tro. Det gælder også, hvis I undervejs har fået adgang til noget, I ikke skulle.
- Anerkendelse med navn på denne side, hvis I vil, når fejlen er rettet.
Sådan foregår det
- Rapport. I skriver til security@auroa.dk, krypteret med PGP, hvis rapporten indeholder noget følsomt. Nøglen står i security.txt.
- Kvittering. Inden for to hverdage bekræfter vi, at rapporten er modtaget, og hvem der ser på den.
- Vurdering. Inden for fem hverdage svarer vi med alvorlighed og plan. Er vi uenige i vurderingen, siger vi hvorfor.
- Rettelse. Vi retter, tester og skriver til jer, når det er lukket. I må gerne kontrollere.
- Offentliggørelse. Vil I skrive om fundet, aftaler vi tidspunktet sammen, efter rettelsen. Vi krediterer jer, hvis I ønsker det.
Det, vi ikke betragter som sårbarheder
Manglende sikkerhedsheaders uden påviselig konsekvens, versionsnumre i svar, resultater fra automatiske scannere uden verifikation, clickjacking på sider uden handlinger, selvudført XSS, og manglende rate limiting på formularer, der allerede har en honningkrukke. Send dem gerne alligevel; vi svarer, men de prioriteres ikke som sårbarheder.
Tak
Der er ingen bug bounty. Vi er en lille virksomhed, og vi siger det ærligt i stedet for at love “belønning efter skøn”. Det, vi kan give, er et hurtigt og ordentligt svar, kredit med navn, og en anbefaling på LinkedIn, hvis I vil have den. Personer, der har hjulpet os, står her nedenfor.
Endnu ingen offentliggjorte fund.
Version 2.0, opdateret 16. september 2026. English version on request.