Säkerhet
Policy för samordnad sårbarhetsrapportering
Rapportera en sårbarhet
Om du tror att du hittat en säkerhetssårbarhet i en CapOpt-produkt eller -tjänst, ber vi dig att höra av dig till:
Vi vill hellre höra från dig än inte. Du behöver inte vara säker, och du behöver inte leverera en fungerande exploit.
Det här hjälper
- Vad du hittade, och var — produkt, tjänst, URL eller enhet
- Hur man återskapar det, med tillräcklig detalj för att vi ska kunna se samma sak
- Vad du tror en angripare skulle kunna göra med det
- Om du berättat för någon annan, och om du planerar att publicera
Skriv på engelska eller svenska — det spelar ingen roll.
Vad vi åtar oss
CapOpt AB är ett trepersonersbolag. Det här är åtaganden vi faktiskt kan hålla, inte de som ser bäst ut på papper:
| Bekräftelse | Inom 3 arbetsdagar |
|---|---|
| Inledande bedömning | Inom 10 arbetsdagar — om vi kan återskapa det, och vår bedömning av allvarlighetsgrad |
| Uppdateringar | Minst var 30:e dag så länge rapporten är öppen |
| Lösning | Vi meddelar när det är åtgärdat, och vad vi ändrade |
Vi har inget bug bounty-program och kan inte erbjuda ersättning. Vill du bli nämnd när vi publicerar en fix, säg till — det gör vi, om du inte ber oss att avstå.
Samordnad offentliggörande
Vi ber om 90 dagar från din rapport innan offentliggörande, så att en fix kan utvecklas och distribueras till installerade enheter.
Vill du publicera tidigare, säg till så försöker vi komma överens om ett datum. Kan vi inte fixa inom 90 dagar förklarar vi varför och föreslår en längre period — men vi använder inte det för att fördröja dig på obestämd tid. Om sårbarheten redan är offentlig eller utnyttjas kan vi inte längre bestämma tidpunkten för offentliggörande.
Safe harbour
Om du agerar i god tro och följer denna policy kommer vi inte att vidta rättsliga åtgärder mot dig, och vi anmäler dig inte till brottsbekämpande myndigheter.
Om en tredje part väcker talan mot dig för forskning som skett i enlighet med denna policy, klargör vi att dina åtgärder var godkända.
Detta innebär inte, och kan inte innebära, att våra kunders eller någon annans rättigheter sätts åt sidan. Se avgränsningen nedan.
Omfattning
Inom scope — produkter och tjänster som CapOpt AB släpper på marknaden eller driver:
- Capacity Optimizer Gateway (modell CO-LB-100) och CapOpt-programvaran som körs på den
- CapOpts moln-API och dashboard
- CapOpts publika webbplatser
Utanför scope:
Elbilsladdare, elmätare och batterilager. Dessa tillverkas av andra företag. Hittar du en sårbarhet i något av dem, rapportera till tillverkaren — vi hjälper dig hitta rätt kontakt om du vill.
Kunders nätverk och kundanläggningar. De får vi inte godkänna testning mot.
Tredjepartstjänster vi använder men inte driver.
Fynd som bara går att nå efter att något utanför scope först komprometterats.
Det vi ber dig att inte göra
Det mesta är standard. Den andra punkten är det inte — och den är viktigare än resten.
- Kom inte åt, ändra eller radera data som inte tillhör dig.
- Testa inte mot en live-installation. En CapOpt Edge styr elbilsladdare, batterilager och elektrisk last på en riktig anläggning. Att störa en kan slå ut site-försörjningen, avbryta laddning som någon är beroende av, eller skada utrustning. Det här är en säkerhetsgräns, inte en juridisk formalitet. Behöver du demonstrera något mot en riktig enhet, kontakta oss först så ordnar vi det.
- Genomför inte denial-of-service-testning, eller något som försämrar tillgänglighet.
- Använd inte social engineering, nätfiske eller fysiska angrepp mot vår personal eller kunder.
- Använd inte automatiserad skanning som genererar betydande belastning.
- Publicera inte detaljer före den avtalade offentliggörandeperioden.
När vi informerar kunder
Påverkar en sårbarhet utplacerade enheter meddelar vi berörda kunder med mitigeringsråd före offentliggörande. Kräver lagen att vi anmäler till en myndighet — till exempel enligt Cyber Resilience Act eller Radio Equipment Directive — gör vi det, utan att det ändrar vad vi kommit överens om med dig.
Senast uppdaterad: 10 september 2026