Arquitetura de segurança, limites de relatórios e expectativas de divulgação responsável para o site Lucius.
A entrega estática, a ausência de contas e a ausência de back-end geral reduzem a exposição, mas não eliminam a necessidade de práticas cuidadosas de segurança.
A construção de produção contém páginas estáticas e ativos entregues por meio de Cloudflare. Não há banco de dados de site, sistema de autenticação, checkout, portal do paciente ou back-end de formulário de contato geral na versão atual.
As respostas de produção usam proteção de tipo de conteúdo, restrições de enquadramento, controles de referência, uma política de segurança de conteúdo e uma política de permissões que desativa recursos desnecessários do dispositivo. Cloudflare fornece entrega TLS, cache de borda e controles de segurança de tráfego.
O site evita contas, informações de pacientes, pagamentos online, rastreadores de publicidade e bancos de dados de formulários. As preferências de idioma são armazenadas localmente. A redução das informações pessoais armazenadas reduz as consequências do comprometimento da camada de aplicação.
As preocupações de segurança podem ser iniciadas através da rota Contato até que uma caixa de correio de segurança dedicada e verificada seja publicada. Inclua o URL afetado, comportamento observado, data, navegador e etapas de reprodução segura. Não acesse, baixe, retenha ou transmita dados pessoais, confidenciais ou de pacientes.
Não realize testes de negação de serviço, verificação automatizada de grandes volumes, ataques de credenciais, persistência, implantação de malware, engenharia social ou testes em serviços de terceiros. Pare de testar se forem encontradas informações confidenciais e relate o problema sem incluir essas informações.
Lucius pode solicitar esclarecimentos, reproduzir o problema, priorizar a correção e coordenar o momento da divulgação. Esta declaração não cria um programa de recompensa por bugs, obrigação de pagamento ou autorização para testar sistemas além do site público Lucius.
