Політика відповідального розкриття вразливостей
Ми в Gig Earnings Guide (gigearningsguide.com) серйозно ставимося до безпеки нашого вебсайту, інфраструктури та спільноти користувачів. Ми вітаємо відгуки й допомогу від незалежних дослідників кібербезпеки, етичних хакерів і ентузіастів технологій, які допомагають нам підтримувати безпеку нашої платформи.
Гарантія безпечної гавані (Safe Harbor):
Якщо ви досліджуєте вразливості добросовісно і відповідно до цієї політики, ми вважаємо ваші дії дозволеними. Ми не порушуватимемо проти вас цивільних чи кримінальних справ. Ми не проситимемо правоохоронні органи втрутитися.
Якщо ви досліджуєте вразливості добросовісно і відповідно до цієї політики, ми вважаємо ваші дії дозволеними. Ми не порушуватимемо проти вас цивільних чи кримінальних справ. Ми не проситимемо правоохоронні органи втрутитися.
1. Правила взаємодії (настанови)
Щоб мати право на захист безпечної гавані й допомогти нашій команді безпеки, ви погоджуєтеся:
- Повідомляти нас негайно: повідомляйте про будь-яку потенційну вразливість, щойно її виявите.
- Захищати приватність користувачів: докладайте всіх розумних зусиль, щоб не отримувати доступ до персональних даних, замовлень чи ліцензійних ключів інших користувачів, не переглядати, не змінювати, не завантажувати і не знищувати їх. Якщо ви випадково отримали доступ до персональних даних, припиніть тестування і негайно повідомте про це.
- Не порушувати роботу сервісу: не робіть нічого, що погіршує роботу користувачів, обвалює сервери чи порушує доступність.
- Зберігати конфіденційність: не розголошуйте вразливість публічно і не передавайте інформацію про неї третім особам, доки наша команда не дослідить її, не усуне і не підтвердить виправлення (скоординоване розкриття).
2. Заборонені методи тестування
Суворо поза межами програми:
- Атаки на відмову в обслуговуванні (DoS / DDoS) або спроби вичерпати ресурси.
- Автоматизований перебір паролів (brute force) або credential stuffing проти ендпоінтів входу чи активації ліцензії.
- Фішинг, цільовий фішинг або соціальна інженерія, спрямовані на адміністраторів чи шоперів.
- Фізичні атаки на центри обробки даних, працівників чи обладнання хостингу.
- Атаки безпосередньо на сторонню інфраструктуру (наприклад, на платіжні сервери Paddle.com чи периферійні вузли Cloudflare).
3. Що входить у межі програми
- Основні вебдомени й субдомени (наприклад,
gigearningsguide.com). - Публічні ендпоінти веб-читалки, клієнтські HTML-застосунки та логіка JavaScript.
- Захист за допомогою Content Security Policy (CSP), від міжсайтового скриптингу (XSS) і міжсайтової підробки запитів (CSRF).
4. Як повідомити про вразливість
Надсилайте детальні звіти на нашу адресу з питань безпеки:
Пошта з питань безпеки: gigearningsguide@gmail.com
У звіті, будь ласка, вкажіть:
- Чіткий опис вразливості та її тип (наприклад, XSS, неправильне налаштування CORS).
- Покрокові інструкції для відтворення або мінімальний Proof of Concept (PoC).
- Уразливу URL-адресу, параметр або заголовки HTTP-запиту.
- Вашу оцінку потенційного реального ризику чи наслідків.
5. Строки відповіді та визнання
Ми зобов’язуємося відповідально опрацьовувати повідомлення про проблеми безпеки:
- Перше підтвердження: протягом 48 годин після надсилання звіту.
- Сортування й оцінка: протягом 5 робочих днів.
- Усунення: ми прагнемо якнайшвидше виправляти проблеми високої серйозності.
- Визнання: наразі ми не маємо платної (грошової) програми bug bounty. Проте ми з радістю публічно відзначимо вас у нашій Залі слави безпеки за дійсні, нові й вагомі вразливості, про які повідомлено етично.