Сообщение о проблеме безопасности
Finmind работает с реальными подключениями к брокерам и личными финансовыми данными. Если вы нашли что-то, что ставит под угрозу одно или другое, мы хотим об этом знать: лучше узнать рано, чем вежливо.
Как с нами связаться
Воспользуйтесь формой обратной связи на главной странице и начните сообщение со слова SECURITY: тогда оно будет рассмотрено раньше общих обращений.
Или напишите на почтовый ящик, который команда читает по любой проблеме и сообщению: [email protected]
Мы открыто говорим, почему почтовый ящик не на нашем домене: finmind.uz пока не принимает входящую почту, поэтому опубликованный там адрес вернул бы ваше сообщение. Когда это изменится, эта страница укажет новый адрес, и /.well-known/security.txt будет обновлён.
Входит в область проверки
- finmind.uz и его поддомены
- Веб-приложение Finmind и его API по адресу /api/v1/
- Аутентификация, управление сеансами и контроль доступа
- Всё, что раскрывает данные, позиции или документы другого пользователя
Не входит в область проверки
- Атаки типа «отказ в обслуживании» (DoS) и нагрузочное тестирование: просим их не проводить
- Результаты автоматических сканеров без подтверждённого воздействия
- Находки, требующие доступа к собственному устройству или почтовому ящику пострадавшего
- Отсутствие защитных заголовков, если из этого нельзя извлечь выгоду для атаки
Чего ожидать
Мы стараемся подтвердить получение сообщения в течение трёх рабочих дней и рассказать, что мы обнаружили и что изменили. Платной программы bug bounty у нас нет, и мы предпочитаем сказать об этом прямо, чем намекать на несуществующее вознаграждение. Всех, кто этого хочет, мы с удовольствием упомянем в благодарностях.
Дайте нам разумное время на исправление проблемы до её раскрытия и не просматривайте, не изменяйте и не сохраняйте данные других людей во время тестирования. Достаточно подтверждения концепции (proof of concept) на вашем собственном аккаунте Finmind.
Машиночитаемая версия: /.well-known/security.txt