1. Як повідомити
Напишіть на serviceinfoclub@gmail.com. Вкажіть:
- що за вразливість і де вона — адреса сторінки чи запиту;
- кроки відтворення — так, щоб ми могли повторити;
- можливий вплив: які дані чи дії під загрозою;
- ваш контакт для відповіді.
Пишіть українською чи англійською.
Межі: сайт infoclub.ai і його сервіси. [уточнити: які піддомени входять у межі].
2. Що дозволено під час дослідження
- тестувати лише на власних акаунтах, створених для дослідження;
- використовувати лише тестові дані, а не дані реальних людей;
- зупинитися, щойно ви підтвердили вразливість;
- якщо випадково побачили чужі дані, — не зберігати їх, нікому не передавати й одразу повідомити нас.
3. Що заборонено
- доступ до даних інших учасників, їх зміна чи видалення;
- атаки на відмову в обслуговуванні (DoS) і навантажувальні тести;
- соціальна інженерія щодо учасників і команди INFOCLUB;
- фізичний доступ до офісів, серверів чи пристроїв команди;
- спам через форми сайту, бота чи пошту;
- публікація відомостей про вразливість до того, як ми її виправили.
4. Наші зобов'язання
Якщо ви дотримуєтесь цих правил, ми:
- підтверджуємо отримання повідомлення протягом […];
- тримаємо вас у курсі: оцінка, план і момент виправлення;
- не ініціюємо переслідування й не звертаємося до правоохоронних органів через добросовісне дослідження в межах цих правил.
5. Винагороди
Грошових винагород за знайдені вразливості (bug bounty) поки немає. Якщо програма з'явиться, оновимо цей документ.
6. security.txt
Контакти для повідомлень про вразливості опубліковано й у машинному форматі (RFC 9116): https://infoclub.ai/.well-known/security.txt
Як захищена сама платформа — на сторінці «Безпека платформи».