Политика раскрытия уязвимостей

Отправляйте сообщения на security@bepto.com. Укажите тему вроде «Сообщение об уязвимости: rodlesspneumatic.com», затронутый URL или функцию, возможное влияние, шаги воспроизведения, запросы и ответы, минимальный пример, условия и предпочтительный контакт.

Не включайте лишние персональные данные, сведения клиентов, учётные данные или конфиденциальные материалы.

Политика действует для rodlesspneumatic.com, включая собственные страницы, публичные маршруты Worker и формы Бепто Пневматик. При сомнении свяжитесь с нами до тестирования.

Сторонние платформы, инфраструктура, приложения и услуги исключены, если прямо не указано, что ими управляет Бепто Пневматик; сообщайте их поставщику.

Используйте только принадлежащие вам или разрешённые учётные записи и данные и проводите минимум тестов. Остановитесь и сообщите нам при доступе к персональным данным, учётным данным, конфиденциальной информации или чужим записям. Избегайте сбоев, чрезмерной автоматизации, истощения ресурсов и влияния на клиентов, доступность или производственные данные. Дайте время на расследование, соблюдайте закон и не используйте уязвимость для шантажа или требований оплаты.

Запрещены отказ в обслуживании, переполнение трафиком, разрушительные тесты, социальная инженерия, фишинг, спам, массовая проверка украденных учётных данных, физическое проникновение, вредоносные программы, закрепление, изменение производственных данных, массовое сканирование с ухудшением сервиса или игнорированием защиты, атаки на людей и поставщиков, а также тестирование сторонних систем и инфраструктуры Cloudflare, которыми Бепто Пневматик не управляет.

Мы ждём доказательств реального влияния. Отчёты только с выводом сканера, баннерами версий, отсутствующими необязательными заголовками, self-XSS, вопросами контента или SEO, clickjacking без чувствительных действий либо наблюдениями лимитов без доказанного последствия могут быть закрыты без исправления.

Мы постараемся подтвердить полный отчёт за пять рабочих дней, дать оценку или запросить детали за десять и сообщать существенный прогресс. Это добросовестные цели, не договорный SLA; срок зависит от серьёзности, сложности, затронутых сервисов и координации.

Не публикуйте уязвимость, пример или затронутые данные до подтверждения исправления либо согласования даты. Мы добросовестно согласуем разумный срок по серьёзности и сложности.

Бепто Пневматик не намерена преследовать добросовестное исследование в рамках политики и с предотвращением вреда. При сомнении спросите нас заранее. Заявление не разрешает нарушение закона и не связывает третьих лиц.

Это не программа вознаграждений за уязвимости; выплаты, подарки и публичное признание не обещаются. Любое признание или вознаграждение остаётся на наше усмотрение и требует отдельного письменного соглашения.

Безопасность: security@bepto.com
Продукция, предложения и сайт: Pneumatic@bepto.com