Безопасность
Сообщить об уязвимости безопасности
Если вы обнаружили слабое место в euphile.eu или в одном из продуктов платформы, сообщите нам. Мы читаем каждое сообщение, отвечаем каждому, кто его прислал, и отмечаем ваш вклад, когда проблема устранена.
Ваше сообщение
Поля, отмеченные *, обязательны. По возможности пишите на английском. Мы также читаем сообщения на всех языках ЕС.
Правила
Что можно тестировать
- euphile.eu и все сервисы в домене euphile.eu: приложения, консоли администрирования и API.
- Десять продуктов платформы, включая их настольные приложения и надстройки, в последней выпущенной версии.
- Любые другие системы, которые мы эксплуатируем и в которых хранятся данные клиентов.
Что не входит в область тестирования
- Сервисы, которые эксплуатируют третьи стороны, а мы только используем. О них сообщайте их владельцам.
- Отказ в обслуживании, нагрузочное тестирование и любые тесты, которые замедляют или прерывают работу сервиса для других.
- Социальная инженерия, фишинг и физические атаки на наших сотрудников, наших клиентов или наши офисы.
- Результаты автоматических сканеров без продемонстрированных последствий, которые можно эксплуатировать.
- Отсутствующие заголовки безопасности, флаги cookie или записи аутентификации электронной почты, если вы не покажете конкретную атаку.
- Self-XSS, кликджекинг на страницах без значимых для безопасности действий и раскрытие версий программного обеспечения.
- Промпты, которые заставляют модель ИИ сказать что-то нежелательное, если только они не преодолевают границу безопасности: данные другого клиента, секрет или действие, которое пользователю выполнять не разрешено.
Как тестировать
- Используйте только свои учетные записи или учетные записи, владелец которых дал вам письменное разрешение.
- Если вы получили доступ к чужим данным, остановитесь. Не копируйте, не храните и не передавайте их, а укажите это в своем сообщении.
- Делайте только то, что нужно для доказательства проблемы: без изменений и удалений, без закрепления в системе и без перемещения в другие системы.
- Удерживайте автоматизированный трафик ниже 5 запросов в секунду.
- Никому не сообщайте подробности, пока мы не выпустим исправление или пока не пройдет 90 дней после вашего сообщения, в зависимости от того, что наступит раньше. Мы можем вместе договориться о другой дате.
- Не требуйте оплаты за неразглашение. Это вымогательство, а не исследование.
Наши обязательства
- Мы подтверждаем получение в течение 2 рабочих дней.
- Мы присылаем первую оценку с указанием присвоенного нами уровня опасности в течение 5 рабочих дней.
- Мы информируем вас о ходе работ не реже раза в месяц, пока проблема не будет решена.
- Мы сообщаем вам о выпуске исправления и согласовываем с вами дату публикации бюллетеня.
- С вашего согласия мы указываем ваше имя в бюллетене и в благодарностях.
Правовые гарантии для исследователей
- Если вы действуете добросовестно и соблюдаете эти правила, мы считаем ваше исследование санкционированным. Мы не будем предпринимать против вас юридических действий из-за него и не будем поддерживать никого, кто это сделает.
- Если третья сторона предпримет действия против вас из-за исследования, проведенного по этим правилам, мы заявим, что ваше исследование было санкционировано.
- Это касается систем, которыми мы владеем и которые эксплуатируем. Мы не можем санкционировать тестирование систем, принадлежащих кому-то другому.
Вознаграждения
- С вашего согласия мы отмечаем вклад автора каждого обоснованного сообщения.
- За оригинальную находку высокого или критического уровня опасности мы можем предложить денежное вознаграждение. Предлагать ли его и в каком размере, мы решаем исходя из последствий и качества сообщения. Вознаграждение не гарантируется.
- Если об одной и той же проблеме сообщают несколько человек, учитывается первое полное сообщение.
- Мы не можем выплатить вознаграждение, если это запрещено законом, или тому, кто нарушил эти правила.