אבטחה
עודכן לאחרונה: 5 בנובמבר 2026
בקצרה: אם מצאתם פגיעות, כתבו אל info@planitude.app ואנחנו נענה תוך 3 ימי עבודה. בהמשך אפשר לקרוא איך אנחנו מגנים על הנתונים שלכם ומה אנחנו עושים אם מתרחש אירוע אבטחה.
דיווח על פגיעות
כתבו אל info@planitude.app עם הנושא „Security”. ספרו לנו מה מצאתם, איפה (עמוד, כתובת או תכונה), מהם השלבים לשחזור, מה תוקף יכול לעשות באמצעותה ובאיזה חשבון או נתוני בדיקה השתמשתם. צילומי מסך או הוכחת היתכנות קצרה עוזרים; נא לא לשלוח לנו נתונים אישיים אמיתיים. אנחנו מאשרים קבלה של כל דיווח תוך 3 ימי עבודה ומעדכנים אתכם עד לתיקון. אפשר לכתוב באיטלקית או באנגלית.
כללים לביצוע מחקר
בדקו רק עם החשבונות והנתונים שלכם. אל תיגשו לנתונים של משתמשים אחרים, אל תשנו ואל תמחקו אותם, אל תבצעו התקפות מניעת שירות או בדיקות עומס, אל תשתמשו בהנדסה חברתית או בפישינג נגד הצוות שלנו או נגד המשתמשים שלנו, ואל תשלחו ספאם. אם הגעתם לנתונים של מישהו אחר, עצרו ודווחו לנו. נא לתת לנו זמן סביר לתקן את הבעיה לפני שאתם מפרסמים אותה ברבים: אנחנו מבקשים עד 90 ימים מיום הדיווח שלכם.
תום לב
אם אתם פועלים בתום לב ומקפידים על הכללים האלה, לא ננקוט נגדכם צעדים משפטיים בגלל המחקר שלכם. הדף הזה אינו מתיר שום דבר בלתי חוקי ואינו מחייב צדדים שלישיים, כמו הספקים שבהם אנחנו משתמשים. אנחנו לא משלמים תגמולים.
מחוץ להיקף
דיווחים שבדרך כלל לא נענה עליהם: היעדר כותרות אבטחה ללא השפעה מוכחת, Self-XSS, הגבלת קצב בנקודות קצה שאינן מטפלות בנתונים רגישים, בעיות שמשפיעות רק על דפדפנים ישנים או שאינם נתמכים, ותוצאות של סורקים אוטומטיים שנשלחו בלי הוכחה שאפשר לנצל את הבעיה.
איך אנחנו מגנים על הנתונים שלכם
האתר והאפליקציה מוגשים רק דרך HTTPS, עם TLS 1.2 ומעלה ו-HSTS, והתעבורה עוברת דרך Cloudflare. השרתים הם שרתי IONOS בגרמניה. גיבויים מחוץ לאתר מוצפנים, נשמרים באיחוד האירופי ונשמרים לכל היותר 30 יום. סיסמאות נשמרות רק כגיבובי bcrypt ומפתחות API נשמרים רק כגיבובים. אסימוני הגישה שאינטגרציות כמו Jira, Azure DevOps ו-Slack מעניקות לנו מוצפנים במצב מנוחה (AES-256-GCM). הגישה למערכות שלנו מוגבלת לאנשים שזקוקים לה, והאפליקציה מתחברת למסד הנתונים עם חשבון ייעודי ולא עם חשבון מנהל.
אירועי אבטחה
אם נגלה אירוע או נקבל על אירוע דיווח, נחקור אותו, נבלום אותו ונתקן אותו. אם נפגעו נתונים אישיים, נודיע ללקוחות המושפעים ללא עיכוב שאינו מוצדק, ובמקום שבו ה-GDPR מחייב זאת, גם לרשות הפיקוח המוסמכת תוך 72 שעות (סעיפים 33 ו-34). באינטגרציות כמו Jira, נודיע גם לספק הפלטפורמה כאשר תנאיו מחייבים זאת. כדי לדווח כלקוח על בעיית אבטחה, כתבו אל info@planitude.app.
יצירת קשר
שאלות על העמוד הזה: info@planitude.app