Zgłaszanie luk bezpieczeństwa

Polityka odpowiedzialnego ujawniania · ostatnia aktualizacja: wrzesień 2026

Time Guardian to program tworzony i utrzymywany przez jedną osobę, ale bezpieczeństwo rodzin, które z niego korzystają, traktuję bardzo poważnie. Jeśli znalazłeś/aś lukę bezpieczeństwa w stronie, Panelu Rodzica, backendzie albo aplikacji na Windows — chcę o niej wiedzieć jak najszybciej, zanim dowie się o niej ktokolwiek inny.

Zakres

Zgłoszenia dotyczące poniższych elementów są mile widziane:

• timeguardian.pl — strona internetowa, blog, dokumenty prawne
• timeguardian.pl/app — Panel Rodzica (aplikacja PWA)
• Backend/API — logowanie, konta, komunikacja z komputerem dziecka, płatności
• Aplikacja desktopowa i instalator — TimeGuardian.exe, TimeGuardianSetup.exe, aktualizator

Czego prosimy unikać

• Ataki typu DoS/DDoS — testy obciążeniowe lub cokolwiek, co mogłoby zakłócić działanie usługi innym użytkownikom.
• Dostęp do cudzych kont — testowanie wyłącznie na własnym koncie testowym, nigdy na kontach realnych klientów bez ich zgody.
• Inżynieria społeczna — phishing, próby wyłudzenia danych od klientów lub ode mnie.
• Ataki fizyczne — na sprzęt, biura czy infrastrukturę hostingową.
• Spam i automatyczne skanery bez analizy — surowe raporty ze skanerów bezpieczeństwa bez potwierdzenia realnego wpływu.

Jak zgłosić

Wyślij e-mail na kontakt@timeguardian.pl z tematem zawierającym słowo „security” lub „bezpieczeństwo”. Maszynowo czytelna wersja tych danych kontaktowych jest też dostępna pod adresem /.well-known/security.txt (zgodnie ze standardem RFC 9116).

W zgłoszeniu przyda się:

• Opis luki i jej potencjalny wpływ (co atakujący mógłby zrobić).
• Kroki potrzebne do odtworzenia problemu.
• Wersja programu / adres strony, której dotyczy zgłoszenie.
• Twoje dane kontaktowe, jeśli chcesz otrzymać informację zwrotną.

Zasady odpowiedzialnego ujawniania

Jeśli działasz w dobrej wierze, zgodnie z tą polityką i nie naruszasz prywatności innych użytkowników — nie będę podejmował żadnych kroków prawnych w związku z Twoim zgłoszeniem, niezależnie od tego, jak poważna okaże się luka.

Proszę o zachowanie poufności zgłoszenia do czasu wydania poprawki (tzw. skoordynowane ujawnienie) — w praktyce staram się reagować szybko, ale jako że pracuję nad tym produktem sam, proszę o cierpliwość przy bardziej złożonych problemach.

Czego możesz się spodziewać

• Potwierdzenie odbioru zgłoszenia — zwykle w ciągu kilku dni roboczych.
• Szczerą informację, czy i kiedy problem zostanie naprawiony.
• Publiczne podziękowanie (jeśli sobie tego zażyczysz) po wydaniu poprawki — na razie nie oferuję nagród pieniężnych (bug bounty), to projekt jednoosobowy bez takiego budżetu.