Безпека та відповідальне розкриття

Як повідомити

• Що саме вразливе й який вплив: що може зробити зловмисник.
• Кроки для відтворення: адреси, запити, знімки екрана чи відео.
• Акаунт або магазин, на якому ви перевіряли (ваш власний).
• Як із вами зв'язатися і чи хочете ви публічну подяку.

Не надсилайте персональних даних інших людей, навіть якщо ви їх побачили: достатньо описати, що саме було видно.

Що входить

• Конструктор, CRM, консоль операторів і маркетинговий сайт платформи.
• Platform API і ключі застосунків.
• Платформна частина опублікованих магазинів: кошик, оформлення замовлення, оплата, кабінет покупця.
• Ізоляція пісочниць агента й опублікованих магазинів один від одного та від платформи.

Що не входить

• Вміст, який створили власники магазинів: про шахрайство чи заборонений вміст повідомляйте через форму скарги внизу магазину.
• Атаки на відмову в обслуговуванні, навантажувальні тести, спам.
• Соціальна інженерія наших працівників чи користувачів, фізичний доступ.
• Сторонні сервіси (Cloudflare, платіжні провайдери, служби доставки) — повідомляйте їм напряму.
• Звіти автоматичних сканерів і відсутні заголовки без підтвердженого сценарію атаки.

Правила добросовісного дослідження

• Перевіряйте лише на власних акаунтах і магазинах.
• Отримавши доступ до чужих даних, зупиніться: не переглядайте, не копіюйте й не зберігайте більше, ніж потрібно для доказу.
• Не змінюйте й не видаляйте дані, не погіршуйте роботу сервісу для інших.
• Не розголошуйте вразливість, доки ми її не виправимо, — або 90 днів від звіту, якщо ми не домовилися про інший строк.

Що робимо ми

• Підтверджуємо отримання протягом 3 робочих днів.
• Даємо первинну оцінку протягом 10 робочих днів.
• Виправляємо: критичні — якнайшвидше (ціль — 7 днів), високі — до 30 днів, решту — до 90 днів.
• Повідомляємо вам про хід виправлення і про те, коли можна розповісти публічно.
• З вашої згоди — дякуємо вам на цій сторінці.

Захист добросовісних дослідників

• Дослідження за цими правилами ми вважаємо дозволеним і не ініціюємо через нього юридичних дій.
• Якщо третя сторона висуне вам претензії через таке дослідження, ми підтвердимо, що ви діяли за нашою політикою.

Грошової винагороди за знахідки поки немає.

Подяки

Поки що порожньо — ви можете стати першими.