Политика кибербезопасности
DropBG (dropbg.io) • Координированное раскрытие уязвимостей (CVD)
Политика
Мы ценим ваш интерес к повышению безопасности нашего сервиса. Пожалуйста, соблюдайте приведенные ниже правила, чтобы исключить любые правовые риски.
Правила координированного раскрытия уязвимостей
- Избегайте несанкционированного разглашения. В процессе координированного раскрытия обсуждайте уязвимость только с затронутым поставщиком, владельцем системы и нами.
- Дайте время на исправление. Воздержитесь от публичного раскрытия уязвимости, пока затронутые стороны не получат достаточно времени на ее устранение или пока вы и все стороны — включая DropBG — не достигнете соглашения о раскрытии.
- Сведите взаимодействие к минимуму. После отправки отчета об уязвимости не взаимодействуйте с затронутой системой повторно в ходе процесса координированного раскрытия.
- Ограничьте масштаб проверки. При демонстрации подтверждения концепции (PoC) выполняйте только минимально необходимые действия. Не скачивайте, не изменяйте и не удаляйте данные сверх необходимого.
- Не превышайте уровень доступа. Избегайте повышения привилегий или исследования системы за пределами минимума, необходимого для демонстрации уязвимости. Используйте для тестирования только собственные аккаунты и никогда не извлекайте данные других пользователей.
- Используйте этичные методы. Не применяйте методы полного перебора (brute-force) или социальной инженерии для получения доступа к системе.
- Избегайте вредоносных действий. Не проводите атаки типа «отказ в обслуживании» (DoS/DDoS) и не устанавливайте вредоносное ПО или вирусы.
- Укажите IP-адреса. По возможности укажите IP-адреса, которые вы использовали при обнаружении уязвимости. Это поможет нам оценить потенциальную эксплуатацию и сократить число ложных срабатываний.
- Сообщите о своих планах. Если вы планируете публично рассказать о своих находках, например в докладе или статье, пожалуйста, предупредите нас заранее.
Чего ожидать от нашей программы CVD
- Правовая защита. Если вы соблюдаете наши правила, действуете добросовестно и не имеете злого умысла, мы не будем инициировать гражданское или уголовное преследование за сообщение об уязвимости.
- Конфиденциальность и анонимность. Ваш отчет будет рассматриваться строго конфиденциально. Вы можете остаться анонимным, и мы не передадим ваши персональные данные третьим лицам без вашего явного согласия.
- Признание заслуг. Мы будем рады указать ваше имя или псевдоним как автора находки после того, как проблема будет устранена.
- Своевременный ответ. Вы получите подтверждение получения отчета в течение 3 рабочих дней, а первичная оценка (триаж) проблемы будет проведена в течение 5 рабочих дней.
- Информирование. Мы будем держать вас в курсе хода устранения уязвимости, а в случае публикации CVE скоординируем раскрытие со всеми вовлеченными сторонами.
- Доска почета исследователей безопасности. Мы являемся независимым проектом и не выплачиваем денежных вознаграждений (bug bounty). В знак благодарности за ваш вклад мы с радостью разместим ваше имя или никнейм на нашей публичной Доске почета безопасности (если вы не предпочтете остаться анонимным).
Чтобы сообщить об уязвимости, напишите на dropna@pm.me. Наш файл безопасности по стандарту RFC 9116 доступен по адресу /.well-known/security.txt.
Последнее изменение: 29 сентября 2026 г.