Политика раскрытия уязвимостей

Редакция: -

Мы приветствуем добросовестные исследования безопасности этого сайта и инфраструктуры Galathilion. Эта политика описывает, что можно тестировать, как сообщить о находке и на что вы можете рассчитывать.

1. Область действия

1.1. Политика действует для сайта https://galathilion.ru и его поддоменов, а также для инфраструктуры, которая непосредственно обслуживает сайт.

1.2. Не входят в область: сторонние сервисы, на которые ведут ссылки (провайдеры, мессенджеры, CDN), социальные сети, а также любые системы вне контроля Galathilion.

1.3. Тестирование должно проводиться добросовестно и без вреда для доступности сайта и данных пользователей.

2. Как сообщить

2.1. Отправьте сообщение на - (адрес также указан в security.txt). Если настроен PGP-ключ, зашифруйте письмо.

2.2. В сообщении полезно указать: описание уязвимости, шаги воспроизведения, влияние, оценку критичности и, если возможно, минимальный proof-of-concept.

2.3. Пожалуйста, не публикуйте информацию до согласования сроков раскрытия и не используйте реальные персональные данные в PoC.

3. Что мы обещаем

• подтвердим получение сообщения в течение 5 рабочих дней;
• оценим находку и сообщим статус обработки;
• согласуем срок раскрытия (обычно до 90 дней с момента подтверждения);
• по вашему желанию упомянем вас как исследователя в благодарностях.

4. Safe harbor

4.1. В отношении исследователей, действующих добросовестно и в рамках этой политики, мы не инициируем юридических действий и не обращаемся в правоохранительные органы по факту исследования.

4.2. Условия: не выходить за область действия; не наносить вред третьим лицам и доступности сервиса; не получать и не сохранять персональные данные пользователей; не использовать социальную инженерию против сотрудников; не уничтожать и не изменять данные.

4.3. Исследования с нарушением этих условий выводятся из safe harbor.

5. Что не входит в политику

• атаки на отказ в обслуживании (DDoS) и нагрузочные тесты;
• спам, фишинг и социальная инженерия;
• атаки на сторонние системы и инфраструктуру провайдера;
• физический доступ и попытки получить доступ к чужим учётным записям;
• автоматическое сканирование, создающее существенную нагрузку.

6. Вознаграждение

6.1. Публичной программы bug bounty пока нет. Мы благодарим исследователей и отмечаем вклад по согласованию, но не гарантируем денежное вознаграждение.

7. Дополнительно

7.1. Эта политика не ограничивает права, предусмотренные законом.

7.2. Контакт для вопросов по безопасности: -; security.txt доступен по адресу https://galathilion.ru/.well-known/security.txt.