🔐 ПОЛИТИКА БЕЗОПАСНОСТИ
Ответственное раскрытие уязвимостей
1. Цель и область применения
Мы стремимся обеспечивать безопасность наших систем и защищать данные пользователей.
Данная политика устанавливает порядок ответственного раскрытия уязвимостей для исследователей безопасности.
Распространяется на:
• Все публичные веб-приложения, API и интернет-системы xpclient.xyz.
• Сервисы, обрабатывающие данные пользователей.
Не входит в область применения:
• Маркетинговые сайты без конфиденциальных данных.
• DoS-атаки, социальная инженерия, физическое тестирование.
• Уязвимости в сторонних сервисах, не находящихся под нашим контролем.
2. Как сообщить об уязвимости
Запрещено публиковать уязвимости в открытых каналах (issues, форумы, соцсети).
Отправляйте отчёты конфиденциально:
Что нужно указать:
• Описание уязвимости и её потенциальное влияние.
• Пошаговые инструкции для воспроизведения (URL, параметры, payload).
• Proof of Concept (скриншоты, видео или рабочий код).
• Ваша оценка серьёзности (Критическая / Высокая / Средняя / Низкая).
3. Наши обязательства по реагированию
Мы обязуемся соблюдать следующие сроки:
Критическая
24–48 ч → 2 дня → 5 дней
Высокая
48–72 ч → 3 дня → 10 дней
Средняя
5 дней → 5 дней → 20 дней
Низкая
5 дней → 7 дней → по приоритету
* Формат: Первичное подтверждение → Триаж и оценка → Целевой срок устранения.
4. Безопасная гавань (Safe Harbor)
Мы предоставляем правовую защиту исследователям, соблюдающим настоящую политику:
✅ Авторизация: Ваше исследование считается авторизованным.
✅ Защита: Мы не будем инициировать судебное преследование за добросовестные действия.
✅ Конфиденциальность: Ваши данные не будут переданы третьим лицам без вашего согласия.
Запрещено:
❌ Уничтожение или изменение данных.
❌ DoS-атаки и нарушение доступности сервисов.
❌ Эксплуатация уязвимости для получения постоянного доступа.
❌ Социальная инженерия, фишинг, вымогательство.
5. Координируемое раскрытие
• Стандартный срок: 90 дней с момента уведомления.
• Продление: Возможно по взаимному согласию.
• Публичное раскрытие: После развёртывания исправления и уведомления пользователей.
• Признание: Ваше имя будет добавлено в «Зал славы» (с вашего согласия).
6. Контакты