Sikkerhed

Skriv til os

Skriv til security@blodtjek.dk på dansk eller engelsk. Fortæl, hvor du fandt fejlen (adressen), hvad den gør, og hvordan vi genskaber den. Skærmbilleder og den præcise forespørgsel hjælper.

Send aldrig kundedata, CPR-numre eller helbredsoplysninger. Er du stødt på andres oplysninger, så skriv det uden at sende dem videre, og slet det, du har.

Hvad du må

Vi beder dig følge disse regler, så kunderne ikke kommer i klemme:

• Test kun med dine egne konti og dine egne data.
• Se, ret, hent eller slet aldrig andres oplysninger. Har du vist, at det kan lade sig gøre, så stop der.
• Ingen overbelastning, ingen spam, ingen fysiske angreb og ingen forsøg på at narre personale eller kunder.
• Kør ingen automatiske scannere mod portalen, backoffice eller API’et uden at have aftalt det med os først. Hjemmesiden må du scanne, så længe den ikke overbelastes.
• Brug ikke sårbarheden til andet end at vise os den, og giv den ikke til andre.
• Hold fundet for dig selv, til vi har rettet det, eller til vi har aftalt noget andet.

Hvad vi gør

Vi tager hver rapport alvorligt og svarer selv.

• Vi bekræfter, at vi har fået din rapport, inden 5 arbejdsdage, og holder dig orienteret undervejs.
• Alvorlige fejl retter vi først. Vi stiler efter at have rettet inden 90 dage og fortæller dig, når det er sket.
• Følger du reglerne her, anmelder vi dig ikke og rejser ikke krav mod dig.
• Vi betaler ikke dusør. Vil du nævnes, står dit navn på siden «Tak».

Hvad der er omfattet

Alt, der kører på blodtjek.dk og vores underdomæner: hjemmesiden, portalen, personalets backoffice og API’et.

Ikke omfattet: MitID, betalingsudbyderen, journalsystemet, MinSundhed og hospitalernes systemer. De har deres egne kanaler. Vi ser også bort fra fund fra automatiske scannere uden en vist konsekvens, fx en manglende header, der ikke kan udnyttes.

Maskinlæsbart

Oplysningerne står også på /.well-known/security.txt efter standarden RFC 9116, og den gamle sti /security.txt giver den samme fil.

In English

Found a vulnerability in Blodtjek.dk? Write to security@blodtjek.dk in English or Danish: where you found it (the address), what it does and how we reproduce it. Never send customer data, civil registration numbers or health information; if you came across someone else's data, tell us without forwarding it and delete what you have.

Please follow these rules so no customer is harmed:

• Test only with your own accounts and your own data. Never view, change, download or delete other people’s data; once you have shown it is possible, stop there.
• No denial of service, no spam, no physical attacks and no social engineering of staff or customers.
• Run no automated scanners against the portal, the back office or the API without agreeing with us first. You may scan the website as long as it is not overloaded.
• Use the vulnerability for nothing but showing it to us, give it to no one else, and keep it to yourself until we have fixed it or agreed otherwise.
• We confirm your report within 5 working days, fix serious issues first and aim to have fixed within 90 days, and tell you when it is done. If you follow these rules we will not report you or make claims against you. We pay no bounty; if you want to be named, your name goes on the «Tak» page.
• In scope: everything running on blodtjek.dk and our subdomains (website, portal, staff back office and API). Out of scope: MitID, the payment provider, the medical record system, MinSundhed and the hospitals’ systems, and findings from automated scanners without a demonstrated impact.