Chính sách công bố lỗ hổng có trách nhiệm
Tại Gig Earnings Guide (gigearningsguide.com), chúng tôi coi trọng việc bảo mật trang web, hạ tầng và cộng đồng người dùng. Chúng tôi hoan nghênh góp ý và đóng góp từ các nhà nghiên cứu an ninh mạng độc lập, hacker mũ trắng và những người đam mê công nghệ đã giúp chúng tôi giữ cho nền tảng an toàn.
Cam kết Safe Harbor (bảo vệ pháp lý):
Nếu bạn nghiên cứu lỗ hổng một cách thiện chí và đúng với chính sách này, chúng tôi xem hành động của bạn là được cho phép. Chúng tôi sẽ không khởi kiện dân sự hay hình sự đối với bạn. Chúng tôi sẽ không yêu cầu cơ quan thực thi pháp luật can thiệp.
Nếu bạn nghiên cứu lỗ hổng một cách thiện chí và đúng với chính sách này, chúng tôi xem hành động của bạn là được cho phép. Chúng tôi sẽ không khởi kiện dân sự hay hình sự đối với bạn. Chúng tôi sẽ không yêu cầu cơ quan thực thi pháp luật can thiệp.
1. Quy tắc tham gia (hướng dẫn)
Để đủ điều kiện được bảo vệ theo safe harbor và giúp đội ngũ bảo mật của chúng tôi, bạn đồng ý:
- Báo cho chúng tôi kịp thời: Báo cáo mọi lỗ hổng bảo mật tiềm ẩn ngay khi bạn phát hiện.
- Bảo vệ quyền riêng tư người dùng: Cố gắng hợp lý để không truy cập, xem, sửa đổi, tải xuống hay phá hủy dữ liệu cá nhân, đơn hàng hoặc license key của bất kỳ người dùng nào khác. Nếu vô tình truy cập dữ liệu cá nhân, hãy dừng kiểm thử và báo cáo ngay.
- Không làm gián đoạn dịch vụ: Không thực hiện hành động làm giảm trải nghiệm người dùng, làm sập máy chủ hoặc ảnh hưởng đến khả năng truy cập.
- Giữ bí mật: Không công bố công khai lỗ hổng hay chia sẻ với bên thứ ba cho đến khi đội ngũ của chúng tôi đã điều tra, xử lý và xác nhận bản sửa lỗi (công bố có phối hợp).
2. Các kỹ thuật kiểm thử bị cấm
Hoàn toàn nằm ngoài phạm vi:
- Tấn công từ chối dịch vụ (DoS / DDoS) hoặc các nỗ lực làm cạn kiệt tài nguyên.
- Dò mật khẩu tự động (brute-force) hoặc thử thông tin đăng nhập hàng loạt (credential stuffing) vào các điểm cuối đăng nhập/kích hoạt giấy phép.
- Lừa đảo (phishing), lừa đảo có chủ đích (spear-phishing) hoặc thao túng tâm lý (social engineering) nhắm vào quản trị viên hay shopper.
- Tấn công vật lý vào trung tâm dữ liệu, nhân viên hoặc phần cứng lưu trữ.
- Tấn công trực tiếp vào hạ tầng của bên thứ ba (ví dụ: tấn công máy chủ thanh toán của Paddle.com hoặc các nút biên của Cloudflare).
3. Mục tiêu trong phạm vi
- Tên miền web chính và tên miền phụ (ví dụ:
gigearningsguide.com). - Các điểm cuối công khai của trình đọc web, ứng dụng HTML phía người dùng và logic JavaScript.
- Các cơ chế phòng vệ Content Security Policy (CSP), Cross-Site Scripting (XSS) và Cross-Site Request Forgery (CSRF).
4. Cách báo cáo lỗ hổng
Vui lòng gửi báo cáo chi tiết đến email bảo mật của chúng tôi:
Email bảo mật: gigearningsguide@gmail.com
Trong báo cáo, vui lòng nêu:
- Mô tả rõ ràng về lỗ hổng và loại lỗ hổng (ví dụ: XSS, cấu hình CORS sai).
- Hướng dẫn tái hiện từng bước hoặc một Proof of Concept (PoC) tối giản.
- URL, tham số hoặc header HTTP request bị ảnh hưởng.
- Đánh giá của bạn về mức rủi ro hoặc tác động thực tế có thể xảy ra.
5. Thời gian phản hồi & ghi nhận
Chúng tôi cam kết xử lý các báo cáo bảo mật một cách có trách nhiệm:
- Xác nhận ban đầu: Trong vòng 48 giờ kể từ khi bạn gửi.
- Phân loại & đánh giá: Trong vòng 5 ngày làm việc.
- Khắc phục: Chúng tôi nỗ lực vá các lỗi nghiêm trọng nhanh nhất có thể.
- Ghi nhận: Hiện chúng tôi chưa có chương trình bug bounty trả tiền. Tuy nhiên, chúng tôi sẵn lòng ghi công bạn công khai trong Security Hall of Fame (Bảng vinh danh bảo mật) cho các lỗ hổng hợp lệ, mới và có tác động, được báo cáo một cách có đạo đức.