Безопасность RIOPASS

1. Область проверок

Политика относится к публичной веб-части RIOPASS на www.riopass.ru: генератору, страницам публикаций, каталогу программ и интерфейсам инструментов. Она разрешает только ограниченные безопасные проверки с соблюдением условий ниже.

Хостинг, почтовая инфраструктура, сторонние API, DNS-сервисы, CDN, аналитика и сайты разработчиков программ не входят в эту область. Наличие ссылки, скачиваемого файла или внешнего подключения не даёт разрешения исследовать чужую инфраструктуру.

Другие домены, поддомены и административная часть не включаются автоматически. Если не уверены в принадлежности ресурса или допустимости проверки, сначала напишите нам. Для расширенного тестирования нужно отдельное согласование.

2. Допустимые действия

• Ручные проверки публичных функций с собственными тестовыми данными.
• Минимальное воспроизведение проблемы, которое не меняет чужие данные и не нарушает работу сайта.
• Описание обнаруженных ошибок проверки ввода, контроля доступа или раскрытия информации без развития атаки.

Используйте только те запросы, которые необходимы для подтверждения проблемы. В инструментах проверки IP и домена используйте свои ресурсы; не превращайте их в средство сканирования третьих лиц.

Проверки, требующие специальных аккаунтов, автоматизированного перебора или повышенной нагрузки, сначала согласуйте по почте. Отсутствие ответа не является разрешением.

3. Когда нужно остановиться

Прекратите проверку, если получили доступ к чужим данным, токенам, закрытым файлам или административным функциям, заметили ухудшение работы сайта либо не можете продолжить без риска изменения данных.

Не исследуйте доступ дальше, не скачивайте дополнительные записи и не используйте найденные пароли или ключи. Сохраните только минимальное подтверждение; скройте секреты и персональные сведения на скриншотах.

Сообщите, где и при каких действиях возникла проблема. Если чувствительные данные уже попали к вам, опишите их тип и объём без пересылки самих данных. Дальнейшую передачу подтверждений и удаление копий согласуйте с нами.

4. Запрещённые проверки

• DoS, нагрузочные атаки и массовые запросы, ухудшающие доступность сервиса.
• Перебор паролей, подбор кодов доступа и использование чужих учётных данных.
• Изменение или удаление чужих данных, массовая выгрузка информации и закрепление доступа.
• Вредоносные файлы, разрушительные проверки и высокоинтенсивные сканеры.
• Социальная инженерия, фишинг, физические атаки и проверки сторонних сервисов без их разрешения.
• Накрутка просмотров, скачиваний и рейтингов, вымогательство или угрозы публикацией данных.

Если рискованное действие кажется необходимым для подтверждения проблемы, опишите предполагаемый способ проверки в письме и дождитесь отдельного согласования.

5. Что включить в отчёт

1. Адрес и условия. Страница или запрос, примерное время обнаружения, браузер и другие существенные условия.
2. Описание. Что работает неправильно и как это может повлиять на пользователей или данные.
3. Шаги воспроизведения. Короткая последовательность действий с собственными тестовыми данными.
4. Результат. Что ожидалось и что произошло фактически.
5. Подтверждение. Обезличенные скриншоты, фрагменты запросов или небольшой безопасный пример, если он нужен.
6. Обратная связь. Как с вами связаться и можно ли упоминать ваше имя или псевдоним при согласованном раскрытии.

Не прикладывайте действующие пароли, ключи, cookie авторизации, полные дампы базы или чужие персональные данные. Обнаруженный секрет опишите по типу и расположению, не отправляя его значение. Не нужно развивать атаку, чтобы сделать отчёт убедительнее.

6. Что происходит после обращения

1. Мы подтвердим получение сообщения и при необходимости запросим безопасные уточнения.
2. Проверим воспроизводимость, последствия и принадлежность проблемы к области этой политики.
3. Для подтверждённой проблемы определим меры исправления и постараемся сообщать о статусе.
4. Обсудим повторную проверку исправления и порядок раскрытия информации.

Срок проверки зависит от сложности и последствий проблемы; гарантированный срок ответа или исправления не установлен. Если ответа нет, можно напомнить о сообщении в той же переписке. Продолжать рискованные проверки в ожидании ответа не нужно.

Даже неполное сообщение может быть полезным. Расскажите, что уже известно, и явно отделите наблюдения от предположений.

7. Согласованное раскрытие

Просим не публиковать технические детали, примеры эксплуатации и чувствительные сведения до исправления или отдельного согласования. Дату, объём публикации и упоминание исследователя обсудим в переписке.

Если согласовать раскрытие не получается, сначала сообщите нам о предполагаемой публикации и её содержании, чтобы обсудить риски для пользователей. Молчание не означает согласования. Чужие данные и действующие секреты не включайте в публичный отчёт.

8. Добросовестное исследование

Если вы действуете добросовестно, соблюдаете эту политику и применимое законодательство, не причиняете вреда и не занимаетесь вымогательством, мы не будем инициировать юридические действия против вас за такое исследование в рамках описанной области.

Это обязательство относится к действиям администрации RIOPASS. Оно не даёт разрешения на доступ к чужим системам, не связывает третьих лиц и не заменяет требования закона. При сомнениях в границах проверки сначала обратитесь к нам.

9. Вознаграждение и упоминание

Эта политика не обещает денежного вознаграждения и не устанавливает условия оплачиваемого тестирования. Отдельные договорённости обсуждаются заранее. Публичное упоминание имени или псевдонима исследователя согласуется с ним.

10. Связанные документы и изменения

Общие правила приведены в условиях использования, обработка сведений из обращений - в политике конфиденциальности. Контакт для сообщений об уязвимостях также опубликован в security.txt.

Актуальная редакция политики находится на этой странице с датой обновления. Перед новыми проверками ознакомьтесь с ней; отдельные условия согласованного исследования уточняются в переписке.