Öryggismál og tilkynningar um veikleika

Síðast uppfært: 28. júlí 2026

ChessCentrum tekur fagnandi á móti tilkynningum um öryggisveikleika í vefsvæði okkar og þjónustu. Þessi síða lýsir því hvernig þú tilkynnir okkur veikleika, hvað þú mátt og mátt ekki gera á meðan þú prófar, og hverju þú getur átt von á frá okkur í staðinn. Hún fylgir leiðbeiningunum Coordinated Vulnerability Disclosure sem gefnar eru út af Netöryggissetri Hollands (NCSC-NL). ChessCentrum er lítið, sjálfstætt verkefni sem ein manneskja rekur, svo að viðbragðstímarnir hér að neðan eru vísvitandi raunsæir fremur en bjartsýnir. Við viljum frekar heyra af vandamáli en að heyra ekki af því.

Hvernig á að tilkynna veikleika

Sendu tilkynningu þína í tölvupósti á contact@chesscentrum.com. Þetta er vaktað póstfang og er eina tilkynningarleiðin sem við höldum úti. Notaðu viðfangsefnið „Security report“ svo að auðvelt sé að þekkja tilkynninguna.

Við birtum sem stendur ekki PGP-lykil og getum því ekki boðið upp á dulkóðaða tilkynningu ennþá. Ef niðurstöður þínar eru of viðkvæmar til að senda í venjulegum tölvupósti skaltu láta okkur vita af því í fyrstu, stuttu skilaboðunum án nokkurra tæknilegra smáatriða, og þá komum við okkur saman um öruggari leið áður en þú sendir meira.

Nafnlausar tilkynningar eru samþykktar og teknar jafn alvarlega. Athugaðu að skiljir þú ekki eftir nein tengiliðaupplýsingar getum við hvorki spurt eftirfylgnispurninga, haldið þér upplýstum né vísað til þín eftir á.

Hvað á að taka fram í tilkynningunni

Tilkynning sem við getum staðfest er tilkynning sem við getum lagfært hratt. Taktu með eins mikið af eftirfarandi og þú getur.

Nákvæmt vistfang, síðu eða endapunkt sem um ræðir, og breytuna eða innslátinn sem við á.
Skref-fyrir-skref leiðbeiningar til að endurtaka vandamálið, og aðganginn eða hlutverkið sem þú notaðir.
Hvað árásaraðili gæti í raun áorkað, í eigin orðum, og hversu alvarlegt þú telur það vera.
Öll sönnunargögn sem þú þurftir til að sýna fram á vandamálið, svo sem fyrirspurn, skjámynd eða stutt afrit úr atvikaskrá, höfð í lágmarki.
Vafrann, stýrikerfið, og dagsetningu og tíma prófunar þinnar, svo að við getum fundið samsvarandi netþjónaskrár.
Hvernig þú vilt láta geta þín ef við birtum lagfæringuna, eða að þú kjósir að vera nafnlaus.
Tengiliðaupplýsingar þínar, ef þú vilt að við höldum þér upplýstum.

Hvað fellur innan gildissviðs

Eftirfarandi kerfi eru okkar, og tilkynningar um þau eru vel þegnar.

Opinbera vefsvæðið chesscentrum.com og hugbúnaðinn sem birtist undir því. Undirlén sem þriðju aðilar reka fyrir okkar hönd — einkum tölvupóstþjónustan okkar — eru ekki okkar að heimila prófun á; tilkynntu þau til rekstraraðilans.
Varalénin chesscentrum.nl, chesscentrum.eu og chesscentrum.net, og www-útgáfur þeirra, sem öll vísa áfram á chesscentrum.com.
Prófunarumhverfi okkar fyrir sama hugbúnað, hafir þú þegar fundið það. Við birtum ekki vistfang þess hér, en niðurstaða sem varðar það er jafn vel þegin og niðurstaða sem varðar raunverulega vefsvæðið.
Virkni hugbúnaðarins á bak við þessa netþjóna: innskráning og reikningsstjórnun, staðfesting tölvupósts og endurstilling lykilorðs, eiginleikar tengdir öðrum skákveitum og skáksamböndum, skorblaðsskanninn, nýskráning á fréttabréf og staðfestingarferli þess, og netþjónaaðgerðirnar og slóðirnar sem styðja við þetta.

Hvað fellur utan gildissviðs

Við rekum ChessCentrum ofan á þjónustu sem önnur fyrirtæki reka, og hvert þeirra telst vinnsluaðili persónuupplýsinga fyrir okkar hönd að því marki sem það vinnur slíkar upplýsingar. Við getum ekki heimilað prófun á kerfum sem eru ekki í okkar eigu, og tilkynningar um þau eiga að fara til viðkomandi rekstraraðila en ekki til okkar. Vinsamlegast prófaðu ekki eftirfarandi.

Innviði Vercel, sem hýsir og birtir vefsvæðið.
Innviði Supabase, sem keyrir gagnagrunninn okkar í Frankfurt.
Innviði Resend, sem sendir út viðskiptatengdan tölvupóst okkar og fréttabréf.
Þjónustu Google, þar á meðal Maps JavaScript-forritaskilin sem notuð eru á kortasíðunni og innskráningu með Google þar sem hún er í boði.
Lichess, sem við notum bæði sem innskráningarveitu og sem opinbera gagnaveitu, og Chess.com, sem við notum eingöngu sem opinbera gagnaveitu.
Efnislegan aðgang að, eða árásir á, húsnæði, vélbúnað eða póstsendingar.
Félagslega verkfræði, vefveiðar eða aðrar blekkingar gagnvart fólkinu á bak við ChessCentrum, birgjum okkar eða notendum okkar.
Magnbundnar þjónustuheftingarárásir (DoS), álagsprófanir, þolprófanir eða annað sem er ætlað að tæma afkastagetu.
Hráar niðurstöður úr sjálfvirkum skanna, sendar inn án þess að sýnt sé fram á áhrif.

Reglur um prófanir

Þú mátt rannsaka meintan veikleika, en aðeins að því marki sem nauðsynlegt er til að sýna fram á að hann sé til staðar. Um leið og þú hefur sönnun skaltu hætta og tilkynna málið. Fylgir þú reglunum hér að neðan lítum við á rannsókn þína sem framkvæmda í góðri trú.

Ekki nálgast, sækja, afrita, breyta eða eyða gögnum sem tilheyra öðrum.
Stofnaðu þinn eigin aðgang og prófaðu gagnvart honum. Notaðu aldrei aðgang annarra, og reyndu aldrei að brjótast inn með grófu afli eða innskráningarupplýsingum úr gagnalekum á aðganga sem eru ekki þínir.
Stoppaðu við sönnun hugmyndar. Ekki fara lengra inn í kerfið en niðurstaðan krefst, og ekki tengja niðurstöðu saman við annað til að búa til víðtækara innbrot til að sjá hversu langt þú kemst.
Ekki keyra þjónustuheftingar-, álags- eða þolprófanir, og ekki keyra sjálfvirkar skannanir á hraða sem skerðir þjónustuna fyrir aðra.
Ekki setja upp spilliforrit, bakdyr, vefskeljar eða önnur úrræði til að viðhalda aðgangi, og fjarlægðu allt sem þú settir inn um leið og þú hefur lokið prófun.
Ekki breyta eða skemma neitt, og ekki senda ruslpóst eða fjöldaskilaboð í gegnum eyðublöðin okkar eða tölvupóst okkar.
Ekki birta eða deila veikleikanum með neinum öðrum áður en við höfum komið okkur saman um birtingu, eins og lýst er hér að neðan.
Farðu eftir hollenskum lögum og gættu meðalhófs.

Ef þú rekst á persónuupplýsingar

Ef prófun þín afhjúpar persónuupplýsingar sem tilheyra notendum okkar skaltu hætta samstundis. Ekki skoða meira af þeim en þú hefur þegar séð, ekki sækja þær, ekki afrita þær og ekki geyma þær. Láttu okkur vita samstundis, lýstu því sem þú sást í almennum orðum í stað þess að senda okkur gögnin sjálf, og eyddu öllu sem þú náðir að vista um leið og við staðfestum að við höfum getað endurskapað vandamálið.

Við vinnum tengiliðaupplýsingar þínar og efni tilkynningar þinnar eingöngu til að taka á tilkynningunni, leysa vandamálið og geta þín ef þú vilt það. Persónuverndarstefna okkar útskýrir hvernig við vinnum persónuupplýsingar og hvaða réttindi þú hefur.

Tilkynningar sem við munum líklega ekki bregðast við

Eftirfarandi er oft tilkynnt til okkar og lýsir, eitt og sér, ekki öryggisvandamáli sem við getum brugðist við. Við lesum þau engu að síður, en taktu vinsamlegast með virk, sannreynd áhrif ef þú vilt að við lítum á eitthvað af þessu sem veikleika.

Öryggishaus sem vantar eða er rangt stilltur, án sannreyndrar misnotkunar.
Athugasemdir um tölvupóstsskrár okkar, svo sem stillingar á SPF, DKIM eða DMARC, án sannreyndrar misnotkunar.
Self-XSS, eða hvert það vandamál sem krefst þess að fórnarlambið lími kóða frá árásaraðila inn í eigin vafra.
Vöntun á takmörkun fjölda fyrirspurna á endapunkti, án sannreyndra afleiðinga.
Úrelt bókasafn eða úrelt útgáfa af ytri hugbúnaðaríhlut, tilkynnt án virkrar misnotkunar gagnvart okkar eigin uppsetningu.
Clickjacking á síðum sem fela ekki í sér neina aðgerð sem breytir stöðu.
Ábendingar um að unnt sé að greina hvort notandi sé til í ferlum sem við svörum af ásettu ráði með sama hætti í öllum tilvikum, svo sem nýskráningu á fréttabréf og endurstillingu lykilorðs.
Ráðleggingar um bestu starfsvenjur varðandi stillingar hjá utanaðkomandi þjónustuveitum okkar, sem við höfum ekki stjórn á.

Hverju þú getur átt von á frá okkur

ChessCentrum er rekið af einni manneskju samhliða öðrum verkefnum. Þetta eru skuldbindingar sem við erum viss um að við getum staðið við, ekki óskhyggja.

Við staðfestum móttöku tilkynningar þinnar innan 5 virkra daga.
Við gefum þér efnislegt mat, þar á meðal hvort við getum endurskapað vandamálið og hversu alvarlegt við teljum það vera, innan 10 virkra daga frá þeirri staðfestingu.
Við höldum þér upplýstum að minnsta kosti á 14 daga fresti þar til tilkynningin er afgreidd, jafnvel þótt einu fréttirnar séu að lagfæringin sé enn í vinnslu.
Við stefnum að því að lagfæra staðfestan veikleika í eigin kóða innan 90 daga. Sé lausnin háð utanaðkomandi aðila eða ytri hugbúnaðaríhlut sem við höfum ekki stjórn á, getur það tekið lengri tíma, og þá segjum við þér hvers vegna og við hverju megi búast.
Við látum þig vita þegar lagfæringin er komin í loftið, svo að þú getir sannreynt hana.
Við nefnum þig í tengslum við lagfæringuna eða í útgáfuskýringum okkar ef þú vilt fá viðurkenningu fyrir það, undir því nafni eða dulnefni sem þú gefur okkur upp, og við segjum ekkert um þig ef þú kýst frekar að vera nafnlaus.
Við meðhöndlum tilkynningu þína sem trúnaðarmál og afhendum ekki upplýsingar um þig til annarra án samþykkis þíns, nema lög krefjist þess.

Umbun: ekkert bug bounty

ChessCentrum er ekki með bug bounty-kerfi og greiðir engin peningaleg verðlaun fyrir tilkynningar um veikleika. Við viljum frekar segja þetta skýrt og umbúðalaust strax en að þú eyðir tíma í tilkynningu í von um greiðslu.

Það sem við bjóðum upp á er einlægt þakklæti, opinbera viðurkenningu í því formi sem þú velur, og hreinskilið svar um hvað við fundum og hverju við breyttum.

Samræmd birting og útgáfa upplýsinga

Við biðjum þig um að halda veikleikanum trúnaðarmáli þar til hann hefur verið lagfærður, og að koma þér saman við okkur um tímasetningu og innihald hvers kyns birtingar áður en af henni verður. Sjálfgefinn frestur okkar er 90 dagar frá þeim degi sem við staðfestum móttöku tilkynningar þinnar, og eftir það er þér frjálst að birta. Sá frestur er umsemjanlegur í báðar áttir: alvarlegt vandamál sem auðvelt er að misnota getur átt skilið styttri frest, og lausn sem er háð utanaðkomandi aðila getur þurft lengri frest.

Ef við munum ekki ná umsaminni dagsetningu látum við þig vita áður en hún rennur út, útskýrum hvers vegna, og leggjum til nýja dagsetningu. Við notum aldrei liðinn frest sem ástæðu til að biðja þig um að þegja ótímabundið. Þegar við birtum eitthvað sjálf deilum við textanum með þér fyrir fram.

Lagaleg staða okkar

Tilkynnir þú okkur veikleika, fylgir reglunum á þessari síðu og hagar þér í góðri trú og af meðalhófi, munum við hvorki kæra þig til lögreglu né höfða einkamál á hendur þér. Við lítum á vinnu þína sem aðstoð, ekki sem árás.

Þessi skuldbinding fellur úr gildi brjótir þú reglurnar hér að ofan, til dæmis með því að ganga lengra en nauðsynleg sönnun krefst, með því að nálgast eða varðveita gögn annarra, með því að skemma þjónustuna, eða með því að misnota eða selja niðurstöðuna í stað þess að tilkynna hana.

Við verðum líka að vera hreinskilin um takmörkun sem við getum ekki fjarlægt: þetta loforð bindur eingöngu ChessCentrum. Það getur ekki bundið hollenska ríkissaksóknaraembættið, sem getur ávallt ákveðið sjálfstætt að rannsaka málið eða höfða sakamál.

Frekari úrræði og tilvísunarupplýsingar

Finnst þér að við höfum ekki tekið nógu vel á tilkynningu þinni, getur þú vísað málinu til Netöryggisseturs Hollands á cert@ncsc.nl, sem getur miðlað málum milli þess sem tilkynnir og fyrirtækis.

Upplýsingarnar hér að neðan eru einnig birtar á véllæsanlegu formi í security.txt-skránni okkar.

Tilkynningarnetfang: contact@chesscentrum.com
Þessi stefna: https://chesscentrum.com/is/security
security.txt: https://chesscentrum.com/.well-known/security.txt
Æskileg tungumál: hollenska, enska, þýska, franska, spænska og portúgalska
Staðfesting móttöku: Innan 5 virkra daga; efnislegt mat innan 10 virkra daga þar á eftir
Frestur til birtingar: 90 dagar sjálfgefið, umsemjanlegt í báðar áttir
Bug bounty: Ekkert. Þess í stað er boðið upp á opinbera viðurkenningu, óskir þú þess
Málskot: NCSC-NL, cert@ncsc.nl