Pokud objevíš bezpečnostní zranitelnost v MyInvoice.cz, prosíme nezveřejňuj ji v public GitHub Issues. Místo toho ji nahlaš přímo:

• Web: https://mywebdesign.cz/ — kontaktní formulář s předmětem [SECURITY] MyInvoice.cz
• Předmět e-mailu: [SECURITY] <stručný popis>

• SQL injection / XSS / CSRF
• Authentication bypass (session, JWT, brute-force lockout obejití)
• Privilege escalation (accountant → admin)
• Cross-supplier data leak (čtení / zápis cizího dodavatele)
• Information disclosure (email enumeration, timing attacks)
• Denial of Service umožňující delší výpadek
• Citlivé údaje v logu / cache (hesla, secret keys, tokens)

• Potvrzení přijetí do 48 hodin (pracovní dny)
• Initial assessment (severity, exploitability) do 5 pracovních dní
• Fix nebo mitigaci dle severity:
  • Critical (full compromise, data leak): patch do 7 dní
  • High (privilege escalation, bypass): patch do 14 dní
  • Medium (info disclosure, DoS): patch do 30 dní
  • Low (best-practice): součástí příští minor release

Pokud nahlásíš v dobré víře a dáš nám čas na fix, nepublikuj detaily před release patche. Po vydání jsi vítaný v CHANGELOG.md jako reportér (opt-in, můžeš zůstat v anonymitě).

Komerční bug bounty zatím nemáme. Pro kvalitní reporty a kritické nálezy nabízíme uvedení v CHANGELOG.md + SECURITY-HALL-OF-FAME.md (chystá se).

Patche dostává nejnovější minor release větve:

Interní bezpečnostní audit projektu je v source/07-security-audit.md — veřejně přístupný (transparentnost). Známé findings (P1–P3) jsou označené jako fixed nebo s odůvodněním vynechané.