Безопасность
Баг-баунти
Нашли проблему безопасности на нашем сайте, в API или приложении? Сообщите нам конфиденциально. Мы быстро исправляем подтверждённые сообщения, держим вас в курсе и вознаграждаем в зависимости от последствий.
Вознаграждения
| Уровень | Вознаграждение | Например |
|---|---|---|
| Critical | up to $1,000 | Taking over accounts, reading other customers' data, running code on our servers |
| High | up to $400 | Bypassing payment or plan limits, stealing API keys, stored XSS on our pages |
| Medium | up to $150 | CSRF on an important action, reflected XSS, access to data that should be private |
| Low | Hall of fame | Minor issues with a real security impact |
Уровень определяет наша команда исходя из реальных последствий. Вознаграждение получает первый подтверждённый отчёт о проблеме; дубликаты отмечаются, но не оплачиваются. Вознаграждения зачисляются на баланс аккаунта или по запросу выплачиваются в USDT.
Область
In scope: this website and its subdomains, the API, the iPhone and Android app, the partner API.
Out of scope: denial of service and load tests, spam or social engineering, physical attacks, reports from automated scanners without a working proof, missing headers without a real impact, issues in other companies' services.
Правила
- Тестируйте только на своих аккаунтах и данных; никогда не получайте доступ к чужим данным, не изменяйте и не удаляйте их.
- Никаких атак типа «отказ в обслуживании», нагрузочных тестов, спама, фишинга и физических атак.
- Остановитесь и сообщите, как только найдёте проблему; не используйте её дальше.
- Держите информацию в тайне, пока мы не исправим проблему (мы сообщим). Мы не преследуем по закону добросовестные исследования, соблюдающие эти правила.