Сообщение о проблеме безопасности

Проверять чужие формы — наша работа, поэтому мы серьёзно относимся к сообщениям о наших собственных системах. Если Вы нашли уязвимость в formexposed, пожалуйста, сообщите нам об этом раньше, чем кому-либо ещё.

Как сообщить

Напишите на security@formexposed.com. Укажите затронутый адрес или компонент, шаги для воспроизведения и то, что злоумышленник мог бы с этим сделать. Краткого сообщения достаточно — если нам понадобится больше, мы спросим.

Что мы обещаем

Мы подтвердим получение сообщения в течение трёх рабочих дней и будем держать Вас в курсе до устранения проблемы.
Серьёзные проблемы мы устраняем как можно быстрее и сообщаем Вам, когда исправление вступит в силу.
По Вашему желанию мы укажем Ваше имя на этой странице после устранения проблемы.

Пожалуйста

тестируйте только с собственным аккаунтом и на собственных сайтах;
не получайте доступ к чужим данным в большем объёме, чем нужно для демонстрации проблемы, и удалите то, что увидели;
никаких атак типа «отказ в обслуживании», нагрузочных тестов или автоматического сканирования с высокой частотой;
никакого спама, социальной инженерии или физических атак;
дайте нам разумное время (мы предлагаем 90 дней), прежде чем что-либо публиковать.

Добросовестность

Если Вы соблюдаете эти правила, мы не будем предпринимать против Вас юридических действий за Ваше исследование и не будем сообщать о Вас властям.

Область действия

Входит в область действия: formexposed.com, form.exposed, плагин formexposed для WordPress, расширение для TYPO3 и поведение нашего сканера (formexposed-bot).

Обычно не входит, если Вы не покажете конкретные последствия: отсутствующие заголовки безопасности, настройки SPF/DMARC, кликджекинг на страницах без действий, номера версий, self-XSS.

Мы небольшая компания и не выплачиваем вознаграждения за найденные уязвимости — но благодарны за каждое сообщение.