Sigurnosna politika

Zadnje ažuriranje: 17 October 2026

Sigurnost usluge YourImageShare i ljudi koji se njome koriste shvaćamo ozbiljno. Ako ste pronašli sigurnosnu ranjivost, hvala vam što nam to javljate. Na ovoj stranici objašnjavamo kako je prijaviti, što možete očekivati od nas i koja pravila vrijede za sigurno testiranje.

1. Kako prijaviti ranjivost

Pošaljite e-poruku na [email protected] ili upotrijebite obrazac za kontakt i temu započnite riječju "Security". Molimo vas da ranjivosti ne prijavljujete na javnim mjestima (GitHub issues, komentari, društvene mreže) prije nego što budu ispravljene.

Molimo navedite:

  • opis problema i što bi napadač mogao učiniti s njim;
  • točne korake, URL-ove i zahtjeve potrebne za reprodukciju (dokaz izvedivosti (proof of concept) je dobrodošao);
  • koji je dio zahvaćen: stranica web-mjesta, API endpoint, proširenje za preglednik, WordPress dodatak, SDK, bot;
  • kako želite da vas navedemo, ako uopće želite.

Naše podatke za kontakt u strojno čitljivom obliku možete pronaći u datoteci /.well-known/security.txt.

2. Što možete očekivati od nas

  • Potvrdu primitka u roku od 5 radnih dana.
  • Prvu procjenu (možemo li problem reproducirati i koliko je ozbiljan) u roku od 10 radnih dana.
  • Ispravak ili izvješće o statusu u roku od 90 dana. Ozbiljne probleme ispravljamo što brže možemo, obično mnogo prije.
  • Koordinirano objavljivanje. Molimo vas da pričekate dok problem ne bude ispravljen ili dok ne prođe 90 dana prije nego što objavite pojedinosti. Rado ćemo s vama dogovoriti datum.

Mali smo tim. Obavještavat ćemo vas o napretku i nećemo zanemariti valjanu prijavu.

3. Zaštita u dobroj vjeri (safe harbour)

Ako se u dobroj vjeri trudite pridržavati se ove politike, smatramo vaše istraživanje ovlaštenim. Zbog toga protiv vas nećemo poduzimati pravne radnje niti vas prijaviti tijelima za provedbu zakona, niti ćemo zbog toga blokirati vaš račun. Ako treća strana pokrene pravni postupak protiv vas zbog istraživanja koje je slijedilo ovu politiku, objavit ćemo da je vaš rad bio ovlašten.

Dobra vjera znači da:

  • testirate samo s vlastitim računima i vlastitim učitanim datotekama ili s računima za čije korištenje imate dopuštenje;
  • prestanete čim dođete do tuđih podataka (učitanih datoteka, podataka o računu, poruka), ne zadržavate ih niti dijelite te nam javite kojim ste podacima pristupili;
  • ne narušavate rad usluge drugima (bez napada uskraćivanjem usluge, bez automatiziranog skeniranja velikog opsega, bez spama);
  • ne koristite socijalni inženjering, phishing ni fizičke napade protiv našeg osoblja, korisnika ili pružatelja usluga;
  • date nam razumno vrijeme da ispravimo problem prije nego što ga objavite;
  • nikada ne učitavate nezakonit sadržaj, uključujući materijal seksualnog zlostavljanja djece, ni iz kojeg razloga.

Ako niste sigurni je li nešto dopušteno, prvo nas pitajte na [email protected].

4. Unutar opsega

  • yourimageshare.com i njegove poddomene (na primjer i.yourimageshare.com i status.yourimageshare.com);
  • javni API za učitavanje, njegova dokumentacija te naši službeni SDK-ovi i MCP poslužitelj;
  • naša proširenja za preglednik, WordPress dodatak i Telegram bot.

Primjeri onoga o čemu želimo čuti: preuzimanje računa, zaobilaženje autentifikacije ili autorizacije, pristup tuđim privatnim učitanim datotekama ili datotekama zaštićenima lozinkom, cross-site scripting koji utječe na druge korisnike, cross-site request forgery na radnjama koje mijenjaju podatke, server-side request forgery, injekcije, udaljeno izvršavanje koda i problemi u obradi učitanih datoteka.

5. Izvan opsega

Sljedeće se ne smatra ranjivostima osim ako možete pokazati stvaran utjecaj na korisnike:

  • nedostajuća ili "best practice" HTTP zaglavlja, oznake kolačića ili TLS postavke bez funkcionalnog napada;
  • izvješća o konfiguraciji SPF-a, DKIM-a ili DMARC-a;
  • clickjacking na stranicama bez osjetljivih radnji;
  • self-XSS ili napadi koji zahtijevaju potpuni pristup žrtvinu uređaju ili pregledniku;
  • ograničenja broja zahtjeva na javnim stranicama te otkrivanje korisničkih imena ili e-adresa putem javnih profila;
  • izvješća automatiziranih skenera bez potvrđenog problema koji se može reproducirati;
  • napadi uskraćivanjem usluge.

6. Nezakonit ili zlonamjeran sadržaj nije sigurnosna prijava

Za prijavu učitanog sadržaja koji je nezakonit, zlonamjeran ili krši naše Uvjete korištenja, upotrijebite gumb za prijavu na stavci ili naš obrazac za prijavu. Takve prijave obrađuje naš tim za moderaciju, a ne sigurnosna adresa.

7. Nagrade i priznanja

Ne provodimo plaćeni program nagrađivanja za pronalazak grešaka (bug bounty). Uz vaše dopuštenje, zahvalit ćemo vam imenom (ili korisničkim imenom) u zahvalama u nastavku i u bilješkama o izdanju s ispravkom.

8. Zahvale

Zahvaljujemo sljedećim osobama što su odgovorno prijavile sigurnosne probleme:

  • Još nema prijava s navedenim zaslugama.