Программа Bug Bounty
Мы внимательно относимся к безопасности accs-shop и благодарны исследователям, которые сообщают нам о найденных уязвимостях ответственным способом.
Если уязвимость подтвердится, мы выплачиваем вознаграждение. Размер выплаты определяется индивидуально и зависит от фактического влияния уязвимости, её критичности, воспроизводимости и соблюдения правил программы.
Как мы обрабатываем сообщения
Мы стараемся оперативно реагировать на сообщения об уязвимостях и в первую очередь оцениваем их фактическое влияние на безопасность.
Подтверждённые критичные уязвимости обрабатываются в приоритетном порядке. В таких случаях мы стремимся устранить или временно нейтрализовать риск в течение 24 часов.
Для уязвимостей с более низкой критичностью срок рассмотрения и исправления может быть больше. Также дополнительное время может потребоваться, если заявленный уровень критичности не совпадает с нашей оценкой, отчёт требует уточнений или влияние уязвимости необходимо дополнительно проверить.
Итоговая критичность и решение о вознаграждении определяются на основании реального риска, воспроизводимости сценария и соблюдения правил программы.
Как сообщить об уязвимости
При обнаружении уязвимости, пожалуйста, свяжитесь с нами через: https://t.me/andy_spl.
В сообщении укажите:
- краткое описание уязвимости;
- пошаговый сценарий воспроизведения;
- фактическое влияние на безопасность;
- ссылки, ID объектов, скриншоты или видео, если они помогают подтвердить проблему;
- информацию о том, какие действия уже были выполнены во время проверки.
Чем точнее описан отчёт, тем быстрее мы сможем его проверить.
Правила ответственного раскрытия
Пожалуйста:
- не публикуйте информацию об уязвимости в открытых источниках до её устранения;
- не передавайте сведения об уязвимости третьим лицам;
- не используйте уязвимость для получения доступа к данным других пользователей;
- не изменяйте, не удаляйте и не выгружайте чужие данные;
- не создавайте помехи работе сайта;
- не используйте методы, которые могут привести к нарушению доступности сервиса;
- останавливайте проверку сразу после подтверждения факта уязвимости.
Если для демонстрации проблемы потенциально может потребоваться доступ к чужим данным или нарушение работы сервиса, остановитесь на минимальном безопасном proof-of-concept и опишите риск в отчёте.
Что выходит за рамки программы
В рамках программы обычно не рассматриваются:
- социальная инженерия, направленная на сотрудников компании, пользователей или партнёров;
- фишинг и другие мошеннические сценарии;
- атаки типа DoS/DDoS и другие методы истощения ресурсов;
- результаты автоматизированных сканеров без ручной проверки и понятного сценария эксплуатации;
- уязвимости в сторонних сервисах, браузерах, расширениях или плагинах;
- попытки физического доступа к объектам компании;
- низкоприоритетные проблемы без существенного влияния на безопасность: опечатки, незначительные UI-дефекты, общие рекомендации без практического сценария атаки;
- сообщения о проблемах, которые не позволяют воспроизвести уязвимость или подтвердить её влияние на безопасность.
Вознаграждение
Вознаграждение выплачивается только за подтверждённые уязвимости, которые имеют практическое влияние на безопасность accs-shop.
Если несколько исследователей сообщат об одной и той же уязвимости, приоритет обычно получает первый полный и воспроизводимый отчёт.
Выплата вознаграждения происходит в течение 5 рабочих дней после подтверждения уязвимости.
