安全事件
没有哪个应用是完全没有风险的。所以我们会公开记录问题以及它们是如何解决的。这里是当前状态,以及出事时我们会怎么做。
最后审查: 2026年4月24日
没有问题需要报告
当前状态:一切正常,没有已知的泄露
严重数据泄露
0
涉及个人数据的泄露
未授权访问 / 长时间故障
0
未授权访问或长时间故障
记录起始
2024年1月1日
自此页面上线以来
每出现一个新问题,我们就更新这个页面。发现有不对的地方?邮件至 security@okidoky.nl。
我们如何处理问题
我们如何报告问题的四条固定规则。不是要吓唬您 — 而是让您知道可以对我们有什么期待。
一切公开报告
即使是最终没有影响的问题。宁可列表上有一条'1 小时内解决,没有数据被看到',也不要沉默而后来引发疑问。
72 小时内报告
隐私法规定,数据泄露必须在 72 小时内向监管机构报告。我们在网站上的报告也遵循同样的期限。
每个问题之后都有完整说明
对于每个报告的问题:发生了什么、何时、影响了谁、如何解决、我们学到什么。就用普通话说清楚。
直接通知受影响用户
在 72 小时内向受影响的帐户发送电子邮件 (即使少于 10 个)。不仅是此页面上的更新 — 必要时我们会主动联系。
4 种情况的 4 个级别
不是每个问题都同样严重。我们怎么报告取决于严重程度 — 这样您自己就能看出事情有多大。
- 级别 1
涉及个人数据的数据泄露
未授权访问帐户、交易或其他个人数据。对用户有直接影响。
响应时间: 24 小时内公开报告 + 直接向受影响帐户发送电子邮件 + 向监管机构报告
- 级别 2
未授权访问 / 长时间故障
检测到攻击尝试、未授权访问我们自己的系统 (无客户数据),或超过 4 小时一切瘫痪。
响应时间: 72 小时内公开报告 + 说明原因 + 防止再次发生的计划
- 级别 3
风险提高 / 险些出事
由我们自己,或由认真上报的人发现的薄弱点。在被滥用之前已修复。
响应时间: 14 天内公开报告 + 修复所在的版本 + 感谢上报的人
- 级别 4
故障 (不是安全问题)
1-4 小时、与安全无关的故障,或电子邮件延迟。对你的隐私没有影响。
响应时间: 在状态页面上报告 (不在这里)。请参阅 status.okidoky.nl。
什么算安全问题?
不是每个小毛病都是安全问题。这里说明什么算、什么不算。
算
未授权访问
未被许可的帐户获得访问权限。
数据暴露
用户数据变得公开可见,即使很短时间。
已确认漏洞
可以被利用或已被利用的安全漏洞。
不算
计划维护
提前通知的宣布维护时段。
供应商出现故障
例如我们用的电子邮件服务出现故障。请参阅状态页面。
不影响隐私的小毛病
界面小问题、报告里的错误、拼写错误 — 这些我们单独记录,不在这里。
拿不准?那我们宁可报告,也不隐瞒。
报告某事时会发生什么?
从最初的信号到事后的说明 — 我们就是这样处理的。
- T+0h
我们注意到
通过我们自己的监测、外部的上报,或用户的消息。然后我们立即着手处理。
- T+0-1h
先止住
我们把受影响的部分停掉,并撤销任何访问权限。这会在一小时内完成 — 先止损,再通知大家。
- T+24h
报告并通知
向受影响用户发送电子邮件 + 此页面上的报告 + (发生数据泄露时) 72 小时内向监管机构报告。
- T+14d
解决
我们找出原因、修复它,并格外留意。上面的列表会变成'已解决'。
- T+30d
事后说明
30 天内:一份详细说明。出了什么问题、为什么、我们学到了什么,以及我们怎么防止再次发生。就在这个页面上。
报告一个问题
发现了薄弱点?告诉我们,这样我们能在有人滥用之前修复它。我们总是亲自回复。
报告渠道
security@okidoky.nl
敏感细节可以把邮件加密。向我们索取密钥。
奖励
提及 + 致谢
我们太小,无法支付金钱,但对已确认的严重问题,您会在此页面获得提及,附上您的姓名和链接 — 外加一年免费 Premium 或 Lifetime 许可证作为感谢。
我们对上报者的请求
- 先报告给我们 — 在公开之前给我们至少 90 天来修复
- 不查看或复制真实用户数据 (使用您自己创建的测试帐户)
- 不要进行让我们系统瘫痪的攻击
- 在您上报和我们修复之间:不要利用这个薄弱点谋取私利或获取数据
常见事件问题
为什么我应该信任空列表?任何人都可以声称'无事件'。
合理的怀疑。几点说明: 1. 如果我们隐瞒什么,迟早会暴露。向监管机构的报告和各种调查都可以追溯。 2. 我们已在荷兰商会注册 (98709364)。在安全问题上故意撒谎,会让所有者个人承担责任。 3. 我们的服务器日志保留 90 天,这样在调查时我们能把一切拿出来。 不过:你不必只听我们的。你可以把这里的每条报告和公开来源对照。
如果某个供应商 (比如我们的主机或支付服务) 发生数据泄露怎么办?
那么我们也在这里报告 — 即使原因不在我们这里。我们对你仍然负责。请参阅 /sub-verwerkers 获取完整列表。 具体地:据我们所知,我们的主机没有发生过重大数据泄露。支付服务在 2024 年有过一次网络钓鱼事件 (不是数据泄露) — 因为我们的连接是在服务器之间直接进行,所以对我们没有影响。
我怎么知道这个页面不是一直停在'没有问题'?
好问题。几种核对方式: 1. 互联网档案馆 (web.archive.org) 会不时保存这个页面。你可以自己看看我们有没有改过什么。 2. 每出现一个问题,上面的'最后审查'日期就会变,计数器也会增加。 想让独立的一方来核查我们的工作?这个我们可以安排。
你们也会向监管机构报告吗?
涉及个人数据的数据泄露:是的,72 小时内,法律有此要求。我们会同时向受影响用户和监管机构报告。 对不那么严重的问题没有这个义务;那些我们会在本页面上报告。
你们为什么不为发现的问题提供金钱奖励?
坦白说:我们太小,无法为此付钱。这种计划也会招来很多消耗时间的低质量报告。 我们的做法:谁报告了一个严重问题,就会在本页面获得个人提及 + 一年免费 Premium — 如果持续帮忙,还会获得 Lifetime 许可证作为感谢。 随着 Okidoky 变大,我们会再考虑。
我们如何保护你的数据
这样一个页面不能防止问题 — 但我们可以展示我们做了什么来把风险降到最低。阅读我们的安全措施或查看子处理方。