Сообщить об уязвимости

Что указать в письме

• Адрес страницы или сервиса, где обнаружена проблема.
• Краткое описание, условия и минимальные шаги воспроизведения.
• Ожидаемый и фактический результат, возможные последствия.
• При необходимости — обезличенные фрагменты запросов, ответов или снимки экрана.

Не отправляйте пароли, токены, cookie, чужие персональные данные или приватные исходные модели. Если нужны чувствительные материалы, сначала согласуйте способ их передачи.

Что мы рассматриваем

Уязвимости сервисов Detalot на detalot.com и detalot.ru: вход и права доступа, приватные файлы и переписка, загрузка и обработка моделей, хранение данных, инфраструктура и выпуск обновлений. Сообщения о доступе к данным другого пользователя особенно важны.

Как проверять безопасно

Используйте собственные аккаунты и тестовые данные. Остановитесь после минимального подтверждения проблемы. Если проверка может затронуть других пользователей, доступность сервиса, деньги или сохранённые данные, сначала согласуйте её по почте.

Не проводите нагрузочные атаки, подбор паролей, социальную инженерию и проверки сторонних систем без их разрешения. Не загружайте настоящее вредоносное ПО; для согласованной проверки антивируса используйте безопасный тестовый файл EICAR.

Найденные пароли, ключи и токены нельзя использовать для входа или запросов. Достаточно сообщить, где они обнаружены и к какому типу относятся.

Когда ждать ответ

• Подтверждение получения — в течение 2 рабочих дней.
• Первичный разбор или запрос уточнений — в течение 5 рабочих дней.
• Обновление статуса принятого сообщения — не реже одного раза в 7 календарных дней.

Это целевые сроки. Срок исправления зависит от серьёзности проблемы и необходимых изменений. Обращение рассматривает владелец Detalot или назначенный им участник команды.

Если ответа нет

Через 2 рабочих дня повторно напишите на support@detalot.com, указав дату первого письма. Если письмо не доставляется или подтверждения нет 5 рабочих дней, используйте другой уже известный вам приватный канал связи с владельцем, если он есть. Реквизиты оператора и способы обращения указаны на странице поддержки.

Не публикуйте технические подробности уязвимости, чтобы привлечь внимание к обращению.

Раскрытие информации

Согласуйте дату публикации с командой и дайте разумное время на проверку и исправление. Если потребуется отсрочка, мы объясним её причину. Секреты, чужие персональные данные и приватные файлы публиковать нельзя. При согласованном раскрытии можно указать автора сообщения с его согласия.