Политика раскрытия уязвимостей

Направьте своё сообщение через нашу страницу контактов с темой «Security report» и укажите: затронутый продукт, программное обеспечение или сервис и его версию; среду, в которой наблюдалась проблема; понятные шаги для воспроизведения; потенциальное воздействие; а также любые материалы proof-of-concept, необходимые для подтверждения проблемы.

Мы стремимся своевременно подтверждать получение сообщений, информировать вас о ходе проверки и сообщать вам, принято ли сообщение и какие меры по устранению планируются. Сроки устранения зависят от серьёзности и сложности; мы можем запросить уточнения или дополнительные сведения о воспроизведении.

В ходе исследования просим не: получать доступ к данным, которые вам не принадлежат, изменять или удалять их; ухудшать работу или нарушать работу наших сервисов или сервисов других пользователей; применять социальную инженерию, фишинг или физические атаки против наших сотрудников или помещений; а также публично раскрывать сведения о проблеме, прежде чем у нас появится разумная возможность выпустить исправление.

Если вы добросовестно стараетесь соблюдать настоящую политику в ходе своего исследования, мы не будем возбуждать или поддерживать судебное преследование против вас в связи с таким исследованием и разъясним это любой третьей стороне, которая обратится с соответствующим запросом. Эта гарантия не распространяется на действия, которые нарушают закон или права других лиц.

Сообщения, которые опираются только на устаревшие браузеры или операционные системы, на вывод автоматизированного сканера без продемонстрированного воздействия, на отсутствующие заголовки безопасности без практически применимого эксплойта либо на социальную инженерию в отношении наших сотрудников, как правило, не подлежат подтверждению.