Безопасность и ответственное раскрытие

Безопасность наших пользователей важна для нас. Обнаружена уязвимость в TheorieWin? Мы будем благодарны, если ты ответственно сообщишь о ней нам, чтобы мы могли устранить проблему, прежде чем кто-то ею воспользуется. Мы следуем руководству Coordinated Vulnerability Disclosure (CVD) Национального центра кибербезопасности Нидерландов (Nationaal Cyber Security Centrum, NCSC).

Как сообщить

Напиши на security@theoriewin.com и укажи, если можешь:

• что найдено и где (URL, экран или запрос);
• шаги, чтобы воспроизвести проблему;
• чего мог бы добиться с ее помощью злоумышленник (последствия);
• как с тобой связаться, если это не тот же адрес.

Писать можно на испанском, английском, нидерландском или португальском языке. Не присылай персональные данные других людей: если для демонстрации проблемы нужно показать данные, используй данные своего тестового аккаунта.

Эти сведения также есть в нашем файле security.txt.

В рамках

• theoriewin.com и www.theoriewin.com, включая учебное приложение (/ru/app/ и другие языки)
• api.theoriewin.com
• Проблемы, например: доступ к данным или аккаунтам других людей, обход аутентификации, инъекции (XSS, SQL), CSRF с реальными последствиями, утечка персональных данных, получение более высоких прав (privilege escalation) или ошибки конфигурации, которыми можно злоупотребить

Вне рамок

• Атаки типа «отказ в обслуживании» (DoS) и нагрузочные тесты
• Социальная инженерия, фишинг или спам, направленные на нас или наших пользователей
• Физические атаки на наше оборудование
• Сервисы третьих сторон, например Cloudflare, Brevo или Google (сообщай напрямую им)
• Результаты автоматических сканеров без доказанных последствий
• Заголовки безопасности или почтовые записи (SPF, DKIM, DMARC), которые можно улучшить, но без практической атаки
• Clickjacking на страницах без важных действий, self-XSS или проблемы, которые касаются только неподдерживаемых браузеров
• Ограничения на количество запросов (rate limits) на маршрутах, которые не обрабатывают чувствительные данные

Правила исследования

• Используй только свои тестовые аккаунты. Не просматривай, не изменяй и не удаляй данные других людей сверх минимально необходимого для демонстрации проблемы.
• Если тебе попались персональные данные других людей, остановись, не сохраняй их и сразу сообщи нам.
• Не используй автоматические инструменты, которые создают много трафика, и не пытайся массово обходить защиту от ботов.
• Не раскрывай проблему публично и не делись ею, пока мы ее не устраним или пока не пройдет 90 дней с твоего сообщения, смотря что наступит раньше. Если нам нужно больше времени, мы договоримся об этом с тобой.

Наши обязательства

• В течение 5 рабочих дней мы подтверждаем, что получили твое сообщение.
• В течение 10 рабочих дней мы даем тебе первую оценку и держим тебя в курсе, пока проблема не будет устранена.
• Мы устраняем проблемы как можно быстрее, в зависимости от их серьезности.
• Если хочешь, мы назовем твое имя, когда проблема будет устранена. Денежного вознаграждения мы не предлагаем.
• Мы обрабатываем твои данные только для того, чтобы разобраться с твоим сообщением, в соответствии с нашей политикой конфиденциальности.

Никаких юридических мер при добросовестном исследовании

Если ты действуешь добросовестно и соблюдаешь эти правила, мы не подаем заявление в полицию и не принимаем против тебя юридических мер из-за твоего исследования. Мы считаем твое исследование разрешенным, и если третья сторона предъявит по этому поводу претензию, мы дадим это ясно понять. Это не действует, если ты действуешь со злым умыслом, например чтобы получить данные, причинить ущерб или потребовать деньги за то, что не раскроешь проблему.