Главная › Ответственное раскрытие
🛡️

Нашли уязвимость — расскажите нам

Мой наставник работает с персональными данными и платежами. Если вы нашли дыру, мы хотим узнать о ней первыми — до того, как ей воспользуются.

Куда писать

knlvovich@vk.ru

Тема письма — «Уязвимость». Пишите по-русски или по-английски, как удобнее. Отвечает человек, а не робот.

Если находка серьёзная и вы не хотите отправлять подробности почтой — напишите одной строкой «есть находка по такому-то разделу», и мы договоримся о защищённом канале.

Что приложить

Чем короче путь от письма до воспроизведения, тем быстрее мы это закроем. Достаточно четырёх вещей:

🔗

Где

Адрес страницы или названия ручки API.

🪜

Как повторить

Шаги по порядку. Скриншот или короткая запись экрана помогают сильнее любого описания.

💥

Что получается

Что именно удаётся сделать: увидеть чужие данные, обойти оплату, отправить от чужого имени.

🕓

Когда

Дата и примерное время — так мы найдём это в журналах.

Что делаем мы

1

Отвечаем за 3 рабочих дня

Подтверждаем, что письмо получено, и говорим, воспроизвели или нет.

2

Чиним

Критичное — в первую очередь. О ходе работы сообщаем вам, а не оставляем в тишине.

3

Благодарим

С вашего согласия называем вас на странице благодарностей. Если хотите остаться неизвестным — так и сделаем.

О чём просим

Это не юридические условия, а просьба по-человечески: мы небольшая команда, и работаем с чужими данными.

  • Не трогайте чужие данные. Убедились, что доступ есть, — остановитесь. Скачивать чужие анкеты, чтобы доказать находку, не нужно.
  • Не ломайте работу платформы. Нагрузочные и разрушающие проверки, массовая рассылка, удаление данных — мимо: в этот момент люди голосуют на своих мероприятиях.
  • Дайте нам время. Опубликуйте находку после того, как мы её закроем, или через 90 дней — смотря что раньше. Если мы не успеваем, скажем об этом честно и договоримся.
  • Не привлекайте участников. Фишинг, социальная инженерия и письма нашим пользователям от нашего имени — не исследование.

Денежного вознаграждения у нас пока нет — обещать то, чего нет, мы не будем. Есть благодарность, публичная или тихая, и быстрый ответ живого человека.

Не про безопасность?

Ошибка в интерфейсе, непонятный текст, не пришло уведомление — это тоже важно, но пишется в другое место: кнопка «Сообщить о проблеме» в приложении или тот же адрес knlvovich@vk.ru с темой «Ошибка». Ответы на частые вопросы — в разделе вопросов.