Сообщение об уязвимостях

1. Куда направить сообщение

Направьте описание на b2b@digital.moscow с темой [SECURITY] SHVACHER. Укажите адрес страницы, наблюдаемое поведение, безопасные шаги воспроизведения, дату и способ связи. Не присылайте пароли, ключи, персональные данные третьих лиц и большие выгрузки.

2. Область проверки

Документ относится только к публичному сайту shvacher.digital.moscow и его форме проектного запроса. Другие сайты, почтовые системы, учётные записи, инфраструктура поставщиков и сервисы третьих лиц не входят в область проверки без отдельного письменного разрешения.

3. Безопасная проверка

Допустимы неразрушающие проверки с минимальным числом запросов, которые не меняют данные и не влияют на доступность. Если проверка может привести к доступу к чужим данным, отправке писем, изменению информации, заметной нагрузке или обходу средств защиты, остановитесь и сначала свяжитесь с оператором.

4. Что недопустимо

• социальная инженерия, фишинг и попытки получить доступ к сотрудникам или подрядчикам;
• DDoS, нагрузочное тестирование и автоматическое сканирование с высокой частотой;
• получение, копирование, изменение или публикация чужих данных;
• закрепление в системе, установка программ, изменение конфигурации или удаление журналов;
• публичное раскрытие до устранения риска и согласования разумного срока.

5. Рассмотрение сообщения

Оператор подтвердит получение, когда сообщение можно идентифицировать и воспроизвести, оценит влияние и сообщит о дальнейшем порядке взаимодействия. Срок исправления зависит от риска и сложности. Публичная программа вознаграждений не заявлена; отправка сообщения сама по себе не создаёт обязательства о выплате.

6. Координированное раскрытие

До публикации сведений согласуйте с оператором объём, дату и формулировки. Не включайте в публикацию эксплуатационные детали, позволяющие атаковать неустранённую проблему, и любые персональные или конфиденциальные данные.