unopost

Policy för ansvarsfullt offentliggörande

Senast uppdaterad: 15 oktober 2026

Detta är en översättning av det engelska originalet som tillhandahålls för din bekvämlighet; om texterna skiljer sig åt gäller den engelska versionen, och det engelska originalet finns på https://unopost.com.au/responsible-disclosure.

1. Inledning

Vi välkomnar rapporter från alla som tror att de har hittat en säkerhetsbrist i Unopost. Denna policy för ansvarsfullt offentliggörande (Responsible Disclosure Policy) förklarar hur du rapporterar en sådan, vilka regler vi ber dig följa när du letar och vad vi gör i gengäld. Den publiceras av AWS, CYY & Co. Pty Ltd (ACN 686 116 245) i egenskap av förvaltare (Trustee) för Mumu, Lulu & Co. (ABN 54 837 123 965), som driver Unopost.

Vi har inget betalt bug bounty-program och betalar inga belöningar för rapporter. Med ditt tillstånd tackar vi dig med namn på denna sida när problemet har åtgärdats.

2. Omfattning

Denna policy omfattar:

Den omfattar inte tjänster som drivs av andra och som vi använder, till exempel Square, Australia Post eller Amazon Web Services. Rapportera problem i dessa till respektive leverantör.

3. Så rapporterar du

Skicka e-post till support@unopost.com.au med ”Security” på ämnesraden. Ange:

  • En beskrivning av problemet och vilken påverkan du anser att det har
  • Den URL, slutpunkt eller funktion som berörs
  • Steg-för-steg-instruktioner för att återskapa det, med eventuell proof of concept-kod, skärmbilder eller anrop
  • Hur vi kan kontakta dig, och om du vill bli tackad med namn

Om du har hittat en exponerad nyckel, ett lösenord eller en annan hemlighet, meddela oss genast och använd den inte. Skriv gärna på engelska om du kan.

4. Vad vi ber dig om

När du letar efter och rapporterar en säkerhetsbrist ska du:

  • Endast testa mot konton, dokument och Brev som är dina egna eller som du har ägarens tillstånd att använda
  • Sluta så snart du når personuppgifter, dokument eller data som inte är dina, och berätta för oss vad du fick åtkomst till. Kopiera, behåll, ändra eller radera dem inte och dela dem inte med någon
  • Inte försämra eller avbryta Tjänsten, inte heller genom överbelastningsattacker, belastningstester eller automatiserad skanning i stor skala
  • Inte posta Brev till någon utan dennes samtycke, och inte skicka meddelanden till våra kunder, deras mottagare eller vår personal
  • Inte använda social manipulation, nätfiske eller fysiska angrepp mot vår personal, våra lokaler eller våra tjänsteleverantörer
  • Inte använda någon annans betalkort, Företagskredit eller inloggningsuppgifter
  • Bara göra det som krävs för att visa att säkerhetsbristen finns
  • Hålla detaljerna konfidentiella tills vi har åtgärdat problemet, eller till 90 dagar efter din rapport, beroende på vilket som inträffar först, om vi inte kommer överens om något annat med dig
  • Följa lagen

5. Vad vi gör

När du rapporterar en säkerhetsbrist i enlighet med denna policy kommer vi att:

  • Bekräfta din rapport inom 2 arbetsdagar
  • Berätta om vi kan återskapa problemet och hålla dig informerad om hur arbetet fortskrider
  • Sträva efter att åtgärda en bekräftad säkerhetsbrist inom 90 dagar, och tidigare om den sätter personuppgifter i fara
  • Meddela dig när problemet har åtgärdats, och tacka dig med namn om du har bett om det

Om problemet rörde personuppgifter bedömer vi det och underrättar berörda personer och Office of the Australian Information Commissioner så som beskrivs i avsnitt 11 i vår Integritetspolicy (https://unopost.com.au/privacy).

6. Rättsligt skydd (safe harbour)

Om du agerar i god tro och i enlighet med denna policy betraktar vi din undersökning som auktoriserad, vidtar inga rättsliga åtgärder mot dig i samband med den och anmäler dig inte till polisen. Om en tredje part vidtar rättsliga åtgärder mot dig för en undersökning som följde denna policy kommer vi att göra känt att din undersökning var auktoriserad av oss.

Detta gäller inte om du har brutit mot denna policy, kommit åt mer än du behövde eller begärt betalning i utbyte mot att inte offentliggöra ett problem. Om du är osäker på om något du tänker göra är tillåtet, fråga oss först på support@unopost.com.au.

7. Vad vi inte betraktar som en säkerhetsbrist

Följande omfattas i regel inte av denna policy, om du inte kan visa en verklig påverkan på säkerheten i Tjänsten eller för våra användare:

  • Rapporter från automatiska skannrar utan fungerande proof of concept
  • Enbart saknade säkerhetsrubriker (security headers), cookieflaggor eller poster för e-postautentisering (SPF, DKIM, DMARC)
  • Clickjacking på sidor utan någon åtgärd som kan orsaka skada
  • Self-XSS, eller problem som kräver fysisk åtkomst till en användares olåsta enhet
  • Röjande av programvaruversioner, eller avsaknad av hastighetsbegränsning för åtgärder utan säkerhetskonsekvenser
  • Överbelastningsattacker, och säkerhetsbrister i de tredjepartstjänster som beskrivs i avsnitt 2

8. Ändringar av denna policy

Vi kan ändra denna policy när som helst genom att publicera en ny version på denna sida. Den version som är publicerad när du lämnar en rapport gäller för den rapporten.