Политика ответственного раскрытия

Сервис, который перемещает деньги, всегда в конечном итоге подвергается испытаниям, будь то благонамеренными людьми или иными. Мы предпочли бы узнать о недостатке из отчета, чем из инцидента, и мы обязуемся не преследовать никого за исследования, проведенные добросовестно в рамках описанных здесь условий.

На данном этапе финансовое вознаграждение не предлагается. Мы не объявляем программу вознаграждений, которую не смогли бы выполнить. Что мы предлагаем, так это конкретное: быстрое подтверждение, технического контактного лица, отслеживание до исправления и публичное признание, если вы этого хотите.

В области действия

• Публичный сайт и его страницы приложений.
• Публично доступные конечные точки программного интерфейса.
• Механизмы аутентификации, сеансов и сброса пароля.
• Любой недостаток, приводящий к чтению, изменению или перенаправлению данных другого пользователя.
• Любой недостаток, позволяющий изменить сумму, получателя, курс или состояние заказа.
• Ошибки конфигурации, раскрывающие секрет, резервную копию или внутреннюю среду.

Вне области действия

• Собственные услуги наших поставщиков: сообщайте о них напрямую соответствующему издателю, который ведет свою собственную программу.
• Отчеты, созданные автоматическим сканером без доказательства возможности эксплуатации.
• Заголовки или находки в конфигурации без продемонстрированного воздействия — отсутствующий рекомендуемый заголовок, cookie без атрибута на публичном контенте.
• Социальная инженерия против наших сотрудников, поставщиков или пользователей.
• Отказ в обслуживании, флуд и нагрузочное тестирование в любой форме.
• Уязвимости, требующие физического доступа к уже скомпрометированному устройству.

Эти правила не формальность: они точно определяют, что остается покрытым нашим обязательством не преследовать.

1. Используйте только свои собственные учетные записи и свои собственные данные. Создайте вторую учетную запись, если вам нужно проверить изоляцию между пользователями.
2. Остановитесь, как только доступ продемонстрирован. Не читайте, не копируйте и не выгружайте данные, принадлежащие третьим лицам.
3. Не ухудшайте работу сервиса: никакого флуда, удаления или изменения производственных данных, кроме своих собственных.
4. Не раскрывайте недостаток публично до его исправления или до истечения согласованного нами срока.
5. Если вы непреднамеренно получили доступ к личным данным, немедленно остановитесь, не сохраняйте их и сообщите об этом в своем отчете.

Полезный отчет содержит пять элементов: затронутый компонент, реальное воздействие, шаги воспроизведения, минимальное доказательство и временные метки вашего тестирования. Остальное — удобство.

Никогда не включайте в отчет личные данные, принадлежащие третьим лицам, реальный идентификатор или полный секрет. Частично отредактированного снимка достаточно для демонстрации доступа.

Затем вы получаете обновление статуса не реже одного раза в две недели до закрытия, даже если нет ничего нового для сообщения. Молчание — это то, что побуждает исследователя публиковать: мы предпочитаем этого избегать.

• Мы подтверждаем исправление и даем вам возможность проверить его до закрытия.
• Мы публикуем уведомление об инциденте, если уязвимость могла привести к раскрытию данных, даже если злоупотреблений не обнаружено.
• Мы публично упоминаем вас, если вы хотите, под именем или псевдонимом по вашему выбору, или не упоминаем вовсе, если вы предпочитаете анонимность.
• Мы согласовываем с вами дату публикации, если вы хотите написать собственный анализ.