November 2025: Denne artikel er blevet opdateret for at afspejle den seneste bonusordning. Den maksimale udbetaling er steget fra 10.000 USD til 100.000 USD.

Ligesom med Proton Mail har vi bygget Proton VPN med vægt på sikkerhed. I dag lancerer vi et fejldusør-program for at styrke sikkerheden i Proton VPN yderligere.

Når man driver en VPN-tjeneste, er sikkerhed ikke kun påkrævet for selve VPN-forbindelserne og -protokollerne. Der er også brug for sikkerhed for den underliggende serverinfrastruktur, websiderne og kontrolpanelerne, selve VPN-applikationerne, betalingssystemet og også brugernes databaser. For at beskytte brugernes privatliv ordentligt skal alle aspekter af tjenesten beskyttes mod at blive kompromitteret.

Da vi byggede Proton VPN, trak vi på den sikkerhedsekspertise, vi har opnået ved at drive verdens største sikre e-mailtjeneste(nyt vindue). Vi har også arbejdet sammen med Proton Mails sikkerhedsbidragydere(nyt vindue) og det bredere fællesskab om at styrke alle aspekter af Proton VPN. For nylig arbejdede vi sammen med den mangeårige Proton Mail-sikkerhedsbidragyder Mazin Ahmed(nyt vindue) om at gennemføre en omfattende sikkerhedsaudit af Proton VPN og tilføje yderligere hærdning.

Vores fejldusør-program gør det muligt for os at udvide det arbejde, vi allerede udfører dagligt for at beskytte Proton VPN-brugere. Derfor er en af de første ting, vi gør, nu hvor Proton VPN officielt er lanceret, at lancere Proton VPN’s fejldusør-program. Med dette program inviterer vi sikkerhedseksperter fra hele verden til at forsøge at finde svagheder i Proton VPN, og vi udbetaler dusører for sikkerhedsproblemer, der rapporteres til os gennem programmet. Hvis du er sikkerhedsforsker, kan du også deltage i Proton Mails fejldusør-program(nyt vindue).

Proton VPN’s fejldusør-program

Regler

Omfang: Programmet er begrænset til de servere og de web-, desktop- og mobilapplikationer, som Proton VPN driver. Vores profiler på Facebook, Twitter, Linkedin, Eventbrite osv. er ikke omfattet. Kvalificerede websteder omfatter:

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [Bemærk: .ch og ikke .com]

Proton VPN-applikationerne til Windows, MacOS, Linux, iOS og Android er også omfattet af programmet.

Bedømmelse: Panelet, der afgør tildelingen af præmier, består af udviklere fra Proton VPN og Proton Mail, bistået af en eller flere eksterne eksperter, som er en del af vores sikkerhedsgruppe. Deltagerne i programmet accepterer at respektere dommernes endelige afgørelse.

Ansvarlig offentliggørelse: Vi anmoder om, at alle sårbarheder rapporteres til os på security@proton.me. Vi mener, at det strider mod ånden i dette program at videregive fejlen til tredjeparter i andre øjemed end faktisk at rette den. Deltagerne accepterer ikke at offentliggøre fejl, der er fundet, før de er blevet rettet, og at koordinere offentliggørelsen med vores team via vores udgivelsesnoter for at undgå forvirring.

Ansvarlig testning: Undlad at hacke brugerkonti, ødelægge databaser eller lække data, der kan være følsomme. Vi fraråder også sårbarhedstest, der forringer servicekvaliteten for vores brugere. Hvis du er i tvivl, er du velkommen til at kontakte vores sikkerhedsteam på security@proton.me.

Overholdelse af regler: Ved at deltage i dette program accepterer du at overholde ovenstående regler og betingelser. Alle regler skal følges for at være berettiget til præmier.

Kvalificerede sårbarheder

Enhver design- eller implementeringsfejl, der i væsentlig grad påvirker fortroligheden eller integriteten af brugerdata, vil sandsynligvis være omfattet af programmet. Det omfatter, men er ikke begrænset til:

Webapplikationer

  • Cross-site scripting
  • Cross-site request forgery
  • Scripts med blandet indhold
  • Fejl i godkendelse eller autorisation
  • Fejl ved kodeudførelse på serversiden
  • REST API-sårbarheder

Server

  • Uautoriseret shell-adgang
  • Privilegieoptrapning
  • Fjernudførelse af kode

Applikationer

  • Fejl i godkendelse eller autorisation
  • Lokalt databrud (uden rooting)

Vi tror på at arbejde tæt sammen med sikkerhedsforskere og er villige til at dele tekniske detaljer som API-specifikationer, kildekode eller oplysninger om infrastrukturen med udvalgte forskere med det formål at forbedre sikkerheden for alle Proton Mail-brugere. Kontakt security@proton.me for at få flere detaljer.

Kvalificerede forbedringer

Nogle gange udbetales dusører for forbedringsforslag, som ikke falder ind under nogen af ovenstående kategorier. Det afgøres fra sag til sag af vores team. Det kan f.eks. være:

  • Forbedringer af serverkonfiguration
  • Firewallkonfigurationer
  • Forbedrede DoS-/DDoS-beskyttelser
  • Afsløring af sti/oplysninger

Ikke-kvalificerede sårbarheder

  • Fejl, der påvirker forældede browsere (beklager, sikkerhedsproblemer i IE6 kvalificerer ikke)
  • Sikkerhedsproblemer uden for Proton VPN’s trusselsmodel
  • Phishing(nyt vindue) eller social engineering-angreb
  • Fejl, der kræver yderst usandsynlige brugerinteraktioner
  • WordPress-fejl (men rapportér dem til WordPress)
  • Forældet software – Af forskellige årsager kører vi ikke altid de nyeste softwareversioner, men vi kører software, der er fuldt opdateret
  • Softwarefejl i OpenVPN eller IKEv2 (men rapportér dem til deres udviklere)

Dusørbeløb

Størrelsen af den dusør, vi udbetaler, afgøres fra sag til sag og afhænger i høj grad af problemets alvor. For at få tildelt en dusør skal du normalt være den første, der rapporterer et problem, selvom der nogle gange gøres undtagelser. Nedenfor findes nogle grove retningslinjer for dusører:

  • Maksimal dusør: 100.000 USD.
  • Kritisk alvorlighedsgrad: 25.000 USD – 50.000 USD — Opdagelse af en sårbarhed, der muliggør fuld, vedvarende uautoriseret kontrol over tjenestemiljøet, eller kompromitterer fortroligheden eller integriteten af alle brugeres data uden at kræve særlige betingelser eller forudgående adgang.
  • Høj alvorlighedsgrad: 2.500 USD – 25.000 USD — Opdagelse af en sårbarhed, der fører til vedvarende uautoriseret kontrol over en stor del af tjenestemiljøet eller et betydeligt databrud på fortroligheden eller integriteten af data, der påvirker en bred gruppe af brugere — uden at kræve særlige betingelser eller forudgående adgang — men som stadig ikke udgør en fuld kompromittering af tjenesten.
  • Middel alvorlighedsgrad: 1.000 USD – 2.500 USD — Opdagelse af en sårbarhed, der muliggør uautoriseret kontrol over en del af tjenestemiljøet, eller kompromitterer integriteten eller fortroligheden af brugerdata for en enkelt bruger eller en lille gruppe. Alternativt sårbarheder med bredere effekt, der kræver betydelig brugerinteraktion eller særlige betingelser, men som stadig fører til eksponering af følsomme data eller kontroller.
  • Lav alvorlighedsgrad: Fra sag til sag, ingen økonomisk belønning som standard — Opdagelse af en sårbarhed med begrænset effekt eller usandsynlige betingelser.

Retningslinjer for rapportering

Rapporter problemer til security@proton.me. Problemer bør rapporteres med klare instruktioner i, hvordan problemet genskabes, og/eller et proof of concept.

Med venlig hilsen
Proton-teamet