Политика ответственного раскрытия уязвимостей
Мы в Gig Earnings Guide (gigearningsguide.com) серьёзно относимся к безопасности нашего сайта, инфраструктуры и сообщества пользователей. Мы приветствуем отзывы и помощь независимых исследователей кибербезопасности, этичных хакеров и энтузиастов технологий, которые помогают нам поддерживать безопасность платформы.
Гарантия «безопасной гавани» (Safe Harbor):
Если вы добросовестно исследуете уязвимости в соответствии с этой политикой, мы считаем ваши действия разрешёнными. Мы не будем подавать против вас гражданские иски или инициировать уголовное преследование. Мы не будем обращаться в правоохранительные органы.
Если вы добросовестно исследуете уязвимости в соответствии с этой политикой, мы считаем ваши действия разрешёнными. Мы не будем подавать против вас гражданские иски или инициировать уголовное преследование. Мы не будем обращаться в правоохранительные органы.
1. Правила участия
Чтобы получить защиту «безопасной гавани» и помочь нашей команде безопасности, вы соглашаетесь:
- Сообщать незамедлительно: сообщайте о любой потенциальной уязвимости сразу, как только её обнаружите.
- Защищать конфиденциальность пользователей: прилагайте все разумные усилия, чтобы не получать доступ, не просматривать, не изменять, не скачивать и не уничтожать персональные данные, заказы или лицензионные ключи других пользователей. Если вы случайно получили доступ к персональным данным, прекратите тестирование и немедленно сообщите об этом.
- Не нарушать работу сервиса: не совершайте действий, которые ухудшают работу для пользователей, вызывают сбои серверов или нарушают доступность.
- Соблюдать конфиденциальность: не раскрывайте уязвимость публично и не сообщайте о ней третьим лицам, пока наша команда не изучит её, не устранит и не подтвердит исправление (скоординированное раскрытие).
2. Запрещённые методы тестирования
Строго вне области действия:
- Атаки типа «отказ в обслуживании» (DoS / DDoS) или попытки исчерпания ресурсов.
- Автоматический перебор паролей (brute force) или credential stuffing против конечных точек входа и активации лицензии.
- Фишинг, целевой фишинг или социальная инженерия в отношении администраторов или шоперов.
- Физические атаки на дата-центры, сотрудников или оборудование хостинга.
- Прямые атаки на стороннюю инфраструктуру (например, на платёжные серверы Paddle.com или пограничные узлы Cloudflare).
3. Цели в области действия
- Основные веб-домены и поддомены (например,
gigearningsguide.com). - Публичные конечные точки веб-читалки, клиентские HTML-приложения и логика на JavaScript.
- Защита с помощью Content Security Policy (CSP), а также защита от межсайтового скриптинга (XSS) и межсайтовой подделки запросов (CSRF).
4. Как сообщить об уязвимости
Пожалуйста, отправляйте подробные отчёты на наш адрес для вопросов безопасности:
Почта для вопросов безопасности: gigearningsguide@gmail.com
В сообщении, пожалуйста, укажите:
- Чёткое описание уязвимости и её тип (например, XSS, неправильная настройка CORS).
- Пошаговые инструкции по воспроизведению или минимальное доказательство концепции (PoC).
- Затронутый URL, параметр или заголовки HTTP-запроса.
- Вашу оценку потенциального реального риска или последствий.
5. Сроки ответа и признание
Мы обязуемся ответственно обрабатывать сообщения о безопасности:
- Первичное подтверждение: в течение 48 часов после получения вашего сообщения.
- Сортировка и оценка: в течение 5 рабочих дней.
- Устранение: мы стараемся как можно быстрее исправлять уязвимости высокой степени серьёзности.
- Признание: сейчас у нас нет платной (денежной) программы bug bounty. Однако мы с радостью публично отметим вас в нашем Зале славы безопасности за действительные, новые и значимые уязвимости, о которых вы сообщили этичным образом.