Den här sidan är översatt från engelska.
Så rapporterar du en sårbarhet
Skriv till security@fluxer.com och berätta vilket område som berörs, vilken realistisk påverkan problemet har och hur man återskapar det steg för steg. Anrop, loggar, skärmdumpar och uppgifter om miljön är till hjälp, så länge de inte avslöjar personuppgifter eller hemligheter som inte hör till saken.
En rapport måste visa praktisk påverkan på en tjänst som vi driver eller på en version för drift på egen server som vi stöder. Granskning av källkoden och lokala experiment kan stödja det, men ett teoretiskt problem utan realistisk angreppsväg räcker inte.
Så krypterar du din rapport
Kryptering är frivillig, och vi läser okrypterade rapporter på samma sätt. Om du vill kryptera rapporten använder du vår OpenPGP-nyckel och kontrollerar att den har det här fingeravtrycket:
A160 0F28 E3D9 BB7E 30D8 4026 970D 864D 50EE A45D
Omfattning
Appar, webbplatser, tjänster och infrastruktur som Fluxer driver omfattas, däribland fluxer.app, fluxer.com, fluxer.gg, fluxer.gift, fluxerapp.com, fluxer.dev, fluxer.tools, fluxerusercontent.com, fluxerstatic.com, fluxer.media och deras underdomäner.
Sådant missbruk av Fluxers funktioner som ger obehörig åtkomst, kvarstående åtkomst eller röjande av data omfattas också. Detsamma gäller de versioner för drift på egen server som vi stöder, om problemet går att återskapa utan egna patchar eller konfiguration som vi inte stöder.
Utanför omfattningen
Tredjepartssystem som vi inte kontrollerar omfattas inte, och inte heller synpunkter på god praxis utan trovärdig säkerhetspåverkan, fysiska attacker, social manipulation, nätfiske, vanliga gränssnittsbuggar, funktionsförslag och instanser som inte stöds.
Du får inte köra överbelastningstester, störande skanning, flooding, brute force-försök eller resursutmattning. Du får fortfarande rapportera ett problem i applikationslagret som ett litet antal anrop kan bevisa, men du får aldrig utnyttja det i stor skala.
Så testar du säkert
Testa bara med konton, communities, system och data som du äger eller har tillstånd att använda. Du får inte komma åt, ändra, behålla eller radera någon annans data. Om det sker av misstag ska du avbryta testet, inte behålla uppgifterna och säga till oss.
Du får inte skicka meddelanden till användare utanför ditt test, skrapa data, kringgå skyddsfunktioner i stor skala eller i skarpt läge utlösa fakturering, betalningar eller aviseringar utan att fråga oss först. Använd minsta möjliga åtkomst för att visa påverkan, och radera personuppgifter från dina tester när du inte längre behöver dem.
Safe harbor
Säkerhetsforskning som görs i god tro enligt den här policyn är tillåten vid tillämpning av lagar mot dataintrång i Sverige, EU och USA samt motsvarande lagar. Vi vidtar inga rättsliga åtgärder mot dig för sådan forskning, och vi bekräftar att den var tillåten om en tredje part ifrågasätter den. Skyddet gäller automatiskt, och vi drar inte tillbaka det retroaktivt.
Det gäller inte utpressning, och inte heller att avsiktligt skada användare, försämra tjänsten eller förstöra data. Fråga först om du är osäker på om ett test omfattas.
Vad som händer efter en rapport
Vi strävar efter att svara snabbt. Prioriteringen beror på vilken påverkan du kan påvisa, vilka användare som berörs, vilka data som exponeras och hur lätt problemet är att utnyttja, och ju allvarligare problemet är, desto snabbare agerar vi. Om vi inte kan återskapa det ber vi om fler uppgifter innan vi stänger rapporten. När vi får in dubbletter går erkännandet till den första rapporten som tydligt visar problemet.
Offentliggörande
Håll rapporten privat tills vi har bekräftat och åtgärdat problemet, vilket normalt tar upp till 90 dagar. Om en åtgärd tar längre tid än så håller vi dig informerad och kommer överens med dig om en ny tidsplan. Vi ber dig inte att hålla tyst på obestämd tid. Om vi publicerar ett säkerhetsmeddelande ger vi dig erkännande och samordnar tidpunkten med dig när vi kan.
Program för ansvarsfullt offentliggörande av sårbarheter
Den här policyn är Fluxers program för ansvarsfullt offentliggörande av sårbarheter. Det är inget bug bounty-program och har inga fasta belöningar. Utöver erkännandet som beskrivs ovan avgör vi från fall till fall om och hur vi tackar eller belönar någon för en rapport.
Utvalda personer med relevant säkerhetserfarenhet har testat Fluxer privat sedan den privata alfan i juli 2023. Sedan den publika betan i januari 2026 och vågen av nya konton i februari har betydligt fler säkerhetsforskare testat Fluxers kod och tjänster och rapporterat sårbarheter. Några av dem har hittat sårbarheter i större plattformar, till exempel Discord. Vi fortsätter att förbättra Fluxers säkerhet med hjälp av deras rapporter.
Repro-belöningarna på Fluxer Feedback är XP-poäng för att återskapa vanliga fel, och de har inget penningvärde. De ingår inte i det här programmet.