安全漏洞披露政策
概述
ComiCine 重视其网站、应用程序和服务的安全。我们欢迎独立安全研究人员以负责任的方式报告安全漏洞。
报告安全漏洞
请通过 [email protected] 报告安全漏洞，并尽可能提供：
- 漏洞的清晰说明。
- 受影响的网址、端点或组件。
- 重现问题的步骤。
- 可能造成的安全影响。
- 相关技术证据。
- 如有，建议的修复方式。
除便于沟通所合理必需的信息外，我们不会要求研究人员提供其他个人信息。
范围
只有由 ComiCine 所有且已获得明确授权的系统，才可视为可能在范围内。不得仅因某个子域名、第三方集成、外部平台或关联服务与 ComiCine 有关，就推定其属于测试范围。
如果某个系统是否在范围内并不明确，请先通过书面方式请求授权，并在收到明确授权前不要对其进行主动安全测试。
负责任的研究准则
研究人员应当：
- 以善意开展研究。
- 避免访问、修改或删除其他用户的数据。
- 避免中断服务或降低服务可用性。
- 避免拒绝服务攻击。
- 避免网络钓鱼、社会工程和物理攻击。
- 避免破坏性测试。
- 仅进行证明漏洞所必需的最低限度测试。
- 一旦发现敏感信息暴露，立即停止测试并报告。
- 在与 ComiCine 协调之前，不公开披露尚未解决的漏洞。
本政策不授予对 ComiCine 系统进行不受限制的测试授权。提交报告也不会授权进一步访问或测试。
披露流程
- 研究人员提交报告。
- ComiCine 审阅所提供的信息。
- ComiCine 可能会请求补充技术细节。
- ComiCine 调查问题并确定修复优先级。
- 在适当修复后，双方可协调公开披露。
上述流程不承诺具体的回复、修复或公开披露时限。
奖励与补偿
ComiCine 目前没有运营公开的漏洞赏金计划。提交漏洞报告并不意味着研究人员有资格获得金钱补偿。我们不承诺提供报酬、周边、就业机会或其他奖励。
法律与授权说明
本政策本身不构成对任何安全测试的授权；任何测试均须另行取得明确授权。本政策不构成法律安全港，也不承诺免于法律追究。研究人员应确保其活动已获授权，并遵守适用的法律及相关服务条款。本政策不允许未经授权的访问、侵犯隐私或扰乱服务的测试行为。
联系方式
请通过 [email protected] 联系我们。
有关公开致谢的信息，请参阅安全致谢。