Программа
вознаграждений

Как это работает

1. НайдитеНайдите уязвимость в разрешённой области, используя собственный аккаунт.
2. СообщитеОтправьте текстом на странице «Сообщения о безопасности» в вашем аккаунте: что это, как воспроизвести и каково влияние.
3. Получите наградуМы изучим сообщение и при необходимости напишем вам; если уязвимость подтвердится, мы добавим награду на ваш аккаунт или выплатим её в зависимости от серьёзности.

Область действия

В область действия входят уязвимости в следующем:

• colitu.com, app.colitu.com и api.colitu.com
• docs.colitu.com (центр помощи)
• Приложения для Windows, Android, Linux и iOS
• Расширение для браузера
• Конфигурации VPN-протоколов и утечки (IP, DNS или информации о трафике)

Вне области действия

Мы не принимаем сообщения о следующем:

• Атаки на отказ в обслуживании (DoS) и нагрузочные тесты
• Тесты, мешающие работе боевых серверов или других пользователей
• Социальная инженерия
• Физические атаки
• Спам
• Сторонние сервисы (например, платёжные, почтовые и CDN-провайдеры)
• Вывод сканеров без продемонстрированного влияния
• Отсутствующие заголовки безопасности и рекомендации по лучшим практикам без реального влияния
• Self-XSS
• Сообщения только об отсутствии ограничения частоты запросов
• Уже известные проблемы

Правила

• Проверяйте только на собственных аккаунтах; не трогайте аккаунты и данные других пользователей.
• Остановитесь на доказательстве концепции: сделайте ровно столько, чтобы показать проблему, и не больше.
• Не выгружайте данные (не скачивайте, не копируйте, не храните).
• Дайте нам 90 дней на исправление; не публикуйте подробности до истечения этого срока или до нашего согласия.
• Побеждает первое подтверждённое сообщение; последующие сообщения о той же уязвимости считаются дубликатами.
• Описывайте в каждом сообщении одну проблему.

Правовая защита исследователей

Исследование, проведённое добросовестно и в рамках этих правил, мы считаем разрешённым. COLITU LIMITED не будет предпринимать против вас юридических действий за исследование в рамках этих правил. Действия вне правил под это обязательство не подпадают. Политика ответственного раскрытия →

Награды

Серьёзность определяем мы; указанная вами — лишь предложение. Награды Pro добавляются на ваш аккаунт. За критические уязвимости сумму мы определяем исходя из влияния и сообщаем вам в переписке по сообщению; фиксированную цифру заранее не обещаем.

• Низкая1 месяц Pro

  Ограниченное влияние, сложно использовать или нужно действие пользователя.

  • Раскрытие неконфиденциальной информации.
  • Незначительная логическая ошибка, требующая действия пользователя.
• Средняя3 месяца Pro

  Ограниченно влияет на данные или действия одного пользователя.

  • Хранимая XSS на странице аккаунта (видимая другому пользователю).
  • Просмотр ограниченных данных другого пользователя.
• Высокая12 месяцев Pro

  Даёт доступ к данным других аккаунтов, учётным данным VPN или правам тарифа.

  • Доступ к аккаунту другого пользователя или к его данным для VPN-подключения.
  • Получение бесплатного Pro в обход оплаты или проверок тарифа.
• КритическаяДенежная награда

  Можно использовать удалённо; затрагивает всю систему или всех пользователей.

  • Удалённое выполнение кода без аутентификации.
  • Доступ ко всем данным пользователей или утечка, нарушающая наше обещание не вести журналы.

Зал славы

Для принятых сообщений, если вы этого захотите, выбранное вами имя публикуется здесь.

Записей пока нет.