Зачем нужна эта политика
Мы ценим работу исследователей безопасности. Эта политика разрешает искать уязвимости в наших сервисах, если вы действуете добросовестно и соблюдаете правила ниже, и объясняет, как сообщить о находке.
Политика действует для сервисов PIXEL LORIS IT SERVICES L.L.C., перечисленных в разделе «Что можно тестировать». Если с вами заключён отдельный договор на тестирование, условия договора имеют приоритет.
Что можно тестировать
Разрешено тестировать сайты, веб-приложения и API по следующим адресам:
- plasmaedtech.com и www.plasmaedtech.com: сайт Plasma EdTech;
- plasmida.ai и www.plasmida.ai: персональный AI-тьютор Plasmida.ai;
- plasmalearn.com и www.plasmalearn.com: LMS Plasma [Learn].
Другие поддомены и сервисы, которые, по-видимому, принадлежат нам, тестируйте только после нашего письменного подтверждения.
Что не входит в область тестирования
Не тестируйте:
- сторонние сервисы, которыми мы пользуемся: Cloudflare, Telegram, Google Maps, Medium, сайты издателей, почтовых и хостинг-провайдеров. О проблемах в них сообщайте их владельцам;
- офисы, оборудование и сотрудников компании;
- учётные записи и данные других пользователей.
Что разрешено
В рамках этой политики вы можете:
- искать уязвимости вручную и с помощью автоматических сканеров, если нагрузка не превышает 10 запросов в секунду на сервис, и сразу прекращать сканирование, если сервис начинает отвечать ошибками или замедляется;
- создавать тестовые учётные записи, если сервис это позволяет, и работать только с ними и со своими данными;
- подтверждать уязвимость минимальным доказательством на своих тестовых учётных записях и данных и сразу останавливаться.
Чтобы мы могли отличить ваш трафик, по возможности добавляйте к запросам заголовок X-Security-Research с вашим адресом электронной почты или ником.
Что запрещено
Даже при добросовестных намерениях не допускаются:
- DoS- и DDoS-атаки и нагрузочное тестирование;
- социальная инженерия: фишинг, звонки и сообщения сотрудникам, партнёрам и пользователям;
- попытки физического доступа к офисам и оборудованию;
- любой доступ к чужим учётным записям и данным: просмотр, изменение, удаление, выгрузка и передача;
- закрепление в системе (бэкдоры, веб-шеллы, скрытые учётные записи) и продвижение вглубь инфраструктуры;
- спам и массовая отправка писем, сообщений и форм;
- тестирование сервисов, не указанных в разделе «Что можно тестировать»;
- публикация сведений об уязвимости до её исправления или до согласованной даты.
Если вы случайно получили доступ к чужим данным, прекратите тестирование, не сохраняйте и не передавайте эти данные и сразу сообщите нам.
Как сообщить об уязвимости
Напишите на [email protected] с темой «Уязвимость». Отчёт можно прислать на русском, английском или арабском. Укажите в нём:
- адрес или компонент, где найдена уязвимость;
- описание и тип уязвимости;
- шаги для воспроизведения и доказательство: запросы, ответы, снимки экрана или видео;
- вашу оценку последствий;
- как с вами связаться и как упомянуть вас в благодарностях, если вы этого хотите.
Не прикладывайте реальные персональные данные пользователей. Если для отчёта нужен защищённый канал, напишите, и мы его предложим.
Что мы обещаем
Получив отчёт, мы:
- подтвердим получение в течение 3 рабочих дней;
- сообщим первичную оценку в течение 10 рабочих дней;
- будем держать вас в курсе исправления;
- с вашего согласия упомянем вас в благодарностях после исправления.
Денежного вознаграждения программа пока не предусматривает.
Правовая защита исследователей
Если вы добросовестно соблюдаете эту политику, мы считаем ваше тестирование разрешённым. Мы не будем подавать против вас иски и обращаться в правоохранительные органы в связи с таким тестированием, а если претензии предъявит третья сторона, подтвердим, что вы действовали с нашего разрешения.
Эта политика не может разрешить то, что запрещает закон, включая законодательство ОАЭ о киберпреступлениях и законы страны, где вы находитесь. Если вы не уверены, допустимо ли действие, спросите нас до начала тестирования.
Публичное раскрытие
Мы придерживаемся скоординированного раскрытия. Пожалуйста, не публикуйте сведения об уязвимости, пока она не исправлена. Мы стремимся исправлять уязвимости в течение 90 дней после отчёта; если понадобится больше времени, согласуем с вами дату публикации.
Изменения политики
Мы можем обновлять эту политику; действующая редакция и её дата всегда опубликованы на этой странице. Тестирование, начатое по прежней редакции, оценивается по ней. Контакт для исследователей также указан в файле security.txt на сайте по стандарту RFC 9116.