Політика відповідального розкриття

Сервіс, який переміщує гроші, завжди зрештою проходить випробування — людьми з добрими намірами чи без них. Ми краще дізнаємося про недолік зі звіту, ніж з інциденту, і зобов'язуємося не переслідувати нікого за дослідження, проведені добросовісно в межах, описаних тут.

На цьому етапі фінансова винагорода не пропонується. Ми не оголошуємо програму винагород, яку не можемо виконати. Те, що ми пропонуємо, є конкретним: швидке підтвердження, технічний контакт, відстеження до виправлення та публічне визнання, якщо ви цього бажаєте.

В обсязі

• Публічний сайт та його сторінки застосунку.
• Публічно доступні кінцеві точки інтерфейсу програмування.
• Механізми автентифікації, сесій та скидання пароля.
• Будь-який недолік, що призводить до читання, зміни або перенаправлення даних іншого користувача.
• Будь-який недолік, що дозволяє змінити суму, отримувача, курс або стан замовлення.
• Помилки конфігурації, що розкривають секрет, резервну копію або внутрішнє середовище.

Поза обсягом

• Власні сервіси наших постачальників: повідомляйте про них безпосередньо відповідному видавцю, який веде власну програму.
• Звіти, створені автоматичним сканером без доказу можливості експлуатації.
• Заголовки або конфігураційні знахідки без продемонстрованого впливу — відсутній рекомендований заголовок, файл cookie без атрибута на публічному контенті.
• Соціальна інженерія проти наших співробітників, постачальників або користувачів.
• Відмова в обслуговуванні, флуд та тестування навантаженням у будь-якій формі.
• Вразливості, що вимагають фізичного доступу до вже скомпрометованого пристрою.

Ці правила не є формальністю: вони точно визначають, що залишається під дією нашого зобов'язання не переслідувати.

1. Використовуйте лише власні облікові записи та власні дані. Створіть другий обліковий запис, якщо потрібно перевірити ізоляцію між користувачами.
2. Зупиніться, щойно доступ продемонстровано. Не читайте, не копіюйте та не викрадайте дані, що належать третім особам.
3. Не погіршуйте роботу сервісу: без флуду, без видалення, без зміни виробничих даних, окрім власних.
4. Не розголошуйте недолік публічно до його виправлення або до закінчення узгодженого нами терміну.
5. Якщо ви ненавмисно отримали доступ до персональних даних, негайно зупиніться, не зберігайте їх і повідомте про це у своєму звіті.

Корисний звіт містить п'ять елементів: уражений компонент, реальний вплив, кроки відтворення, мінімальний доказ та часові мітки вашого тестування. Решта — для зручності.

Ніколи не включайте у звіт персональні дані третіх осіб, реальні ідентифікатори або повні секрети. Частково відредагованого знімка екрана достатньо для демонстрації доступу.

Після цього ви отримуєте оновлення статусу принаймні кожні два тижні до закриття, навіть якщо немає нічого нового, про що можна повідомити. Мовчання — це те, що спонукає дослідника публікувати: ми хотіли б цього уникнути.

• Ми підтверджуємо виправлення і дозволяємо вам перевірити його перед будь-яким закриттям.
• Ми публікуємо звіт про інцидент, якщо вразливість могла призвести до витоку даних, навіть якщо зловживань не виявлено.
• Ми публічно вказуємо вас як автора, якщо ви цього бажаєте, під ім'ям або псевдонімом на ваш вибір, або взагалі не вказуємо, якщо ви віддаєте перевагу анонімності.
• Ми узгоджуємо з вами дату публікації, якщо ви хочете написати власний аналіз.