보안 취약점 신고 정책
Gig Earnings Guide(gigearningsguide.com)는 웹사이트, 인프라, 사용자 커뮤니티의 보안을 중요하게 생각합니다. 저희 플랫폼을 안전하게 지키는 데 도움을 주는 독립 사이버보안 연구자, 윤리적 해커, 기술 애호가 여러분의 의견과 기여를 환영합니다.
면책(Safe Harbor) 보장:
본 정책에 따라 선의로 취약점 연구를 수행하는 경우, 저희는 귀하의 행위를 허가된 것으로 간주합니다. 귀하에 대해 민사 또는 형사상 법적 조치를 시작하지 않습니다. 수사 기관에 개입을 요청하지 않습니다.
본 정책에 따라 선의로 취약점 연구를 수행하는 경우, 저희는 귀하의 행위를 허가된 것으로 간주합니다. 귀하에 대해 민사 또는 형사상 법적 조치를 시작하지 않습니다. 수사 기관에 개입을 요청하지 않습니다.
1. 참여 규칙 (가이드라인)
면책 보호를 받고 저희 보안팀을 돕기 위해, 귀하는 다음에 동의합니다:
- 신속한 신고: 잠재적인 보안 취약점을 발견하면 즉시 신고합니다.
- 사용자 개인정보 보호: 다른 사용자의 개인정보, 주문 또는 라이선스 키에 접근하거나, 열람하거나, 수정하거나, 다운로드하거나, 파기하지 않도록 합리적인 노력을 다합니다. 실수로 개인정보에 접근한 경우, 테스트를 중단하고 즉시 신고합니다.
- 서비스 방해 금지: 사용자 경험을 저하시키거나, 서버를 다운시키거나, 서비스 가용성을 방해하는 행위를 하지 않습니다.
- 기밀 유지: 저희 팀이 조사하고, 조치하고, 수정을 확인하기 전까지는 취약점을 공개하거나 제3자와 공유하지 않습니다(조율된 공개).
2. 금지된 테스트 기법
명백히 범위 밖인 행위:
- 서비스 거부(DoS / DDoS) 공격 또는 자원 고갈 시도.
- 로그인/라이선스 활성화 엔드포인트에 대한 자동화된 무차별 대입(brute-force) 또는 크리덴셜 스터핑.
- 관리자나 쇼퍼를 대상으로 한 피싱, 스피어 피싱 또는 사회공학 기법.
- 데이터 센터, 직원 또는 호스팅 하드웨어에 대한 물리적 공격.
- 제3자 인프라를 직접 노리는 공격(예: Paddle.com 결제 서버나 Cloudflare 엣지 노드 공격).
3. 테스트 대상 범위
- 주 웹 도메인 및 서브도메인(예:
gigearningsguide.com). - 공개 웹 리더 엔드포인트, HTML 클라이언트 애플리케이션, JavaScript 로직.
- 콘텐츠 보안 정책(CSP), 크로스 사이트 스크립팅(XSS), 크로스 사이트 요청 위조(CSRF) 방어.
4. 취약점 신고 방법
자세한 신고 내용을 보안 이메일로 보내 주세요:
보안 이메일: gigearningsguide@gmail.com
신고 시 다음 내용을 포함해 주세요:
- 취약점과 그 유형에 대한 명확한 설명(예: XSS, CORS 설정 오류).
- 단계별 재현 방법 또는 최소한의 개념 증명(PoC).
- 영향을 받는 URL, 파라미터 또는 HTTP 요청 헤더.
- 실제 발생할 수 있는 위험이나 영향에 대한 귀하의 평가.
5. 대응 일정 및 감사 표시
저희는 보안 신고를 책임감 있게 처리할 것을 약속합니다:
- 최초 확인 회신: 신고 접수 후 48시간 이내.
- 분류 및 평가: 영업일 기준 5일 이내.
- 조치: 심각도가 높은 문제는 최대한 빨리 패치하도록 노력합니다.
- 감사 표시: 현재 유료(금전) 버그 바운티 프로그램은 운영하지 않습니다. 다만, 윤리적으로 신고된 유효하고 새로우며 영향력 있는 취약점에 대해서는 기꺼이 Security Hall of Fame(보안 명예의 전당)에 귀하의 이름을 공개적으로 올려 드립니다.