Безпека та відповідальне розкриття

Що повідомляти

Повідомляйте про ймовірні вразливості автентифікації, авторизації, захоплення облікового запису, витоку даних, injection, cross-site scripting, підроблення запитів, небезпечного доступу до файлів, приватних доказів, API або іншого суттєвого контролю безпеки.

Для звичайної проблеми входу, яка не є вразливістю, використовуйте підтримку.

Що додати

Надайте:

• відповідну URL-адресу, функцію або API-маршрут;
• чіткий опис проблеми й очікуваного впливу;
• безпечні кроки відтворення;
• доречні дані браузера або пристрою;
• обмежені скриншоти чи журнали без секретів і персональних даних;
• інформацію, чи підозрюєте активне використання вразливості.

Не надсилайте паролі, токени автентифікації, приватні ключі або набори персональних даних.

Межі тестування

Не:

• отримуйте доступ, не змінюйте й не видаляйте дані іншої особи;
• створюйте persistence, шкідливе ПЗ або backdoor;
• використовуйте denial-of-service, навантажувальне чи руйнівне тестування;
• надсилайте спам або автоматичні повідомлення;
• застосовуйте соціальну інженерію до користувачів чи постачальників;
• тестуйте сторонні сервіси без їх дозволу;
• завантажуйте більше даних, ніж мінімально потрібно для демонстрації;
• публічно розкривайте невиправлену вразливість до того, як Watchmora отримає розумну можливість провести перевірку.

Ця Політика не дозволяє незаконний доступ і не скасовує умови іншого сервісу.

Добросовісні повідомлення

Якщо ви дієте добросовісно, уникаєте шкоди, поважаєте приватність і швидко повідомляєте, Watchmora відповідально розгляне звернення й не вважатиме випадкове, мінімальне та неруйнівне виявлення зловживанням лише через сам факт повідомлення.

Це не є обіцянкою імунітету від закону або вимог третіх сторін.

Що відбувається далі

Watchmora може підтвердити отримання, попросити уточнення, відтворити проблему, обмежити відповідну функцію, зберегти докази, розгорнути виправлення й попросити перевірити результат.

Час відповіді залежить від серйозності, доказів і доступних ресурсів. Програма винагород або оплати наразі не діє, якщо Watchmora письмово не погодила інше до виконання роботи.

Приватність і подяка

Повідомте, чи хочете залишитися приватним або отримати подяку після виправлення. Не розкривайте публічно постраждалих користувачів або персональні дані.

Канал звернення

Надсилайте повідомлення через форму «Безпека». Вона створює приватну справу й підтримує контрольовану роботу з доказами.

Щоб повідомити про вразливість, використовуйте форму безпеки або напишіть на [email protected]. Не додавайте до звичайного електронного листа зайві персональні дані, паролі, коди автентифікації або активні матеріали для експлуатації вразливості.