Безопасность в Shipcue
Как сообщить об уязвимости и чего вы можете от нас ожидать.
Черновик. Эта политика ещё может измениться до выхода Shipcue. Последнее обновление: .
Как сообщить об уязвимости
Напишите на security@shipcue.app. Укажите:
- что вы нашли и где (версия приложения, эндпоинт или экран),
- шаги для воспроизведения,
- какое, по вашей оценке, это имеет влияние.
Никогда не присылайте ключи API (файлы .p8), токены и другие секреты, даже собственные. Закрашивайте их на скриншотах и в логах.
Что мы обещаем
- Мы отвечаем в течение 5 рабочих дней.
- Мы сообщаем вам о ходе исправления и о том, что проблема устранена.
- Если вы хотите, мы упомянем вас, когда объявим об исправлении.
- Мы не будем предпринимать юридических действий против исследований, проведённых добросовестно и по этой политике.
Просим вас
- Тестировать только на своих аккаунтах, ключах и приложениях.
- Не получать доступ к чужим данным, не менять и не удалять их. Если вы попали к ним случайно, остановитесь и сообщите нам.
- Не проводить тесты на отказ в обслуживании, не рассылать спам и не применять социальную инженерию против нас и наших пользователей.
- Дать нам разумное время на исправление, прежде чем публиковать сведения о проблеме (мы предлагаем 90 дней).
В рамках программы
- Приложение Shipcue для iPhone и iPad
- Эндпоинты нашего сервера на shipcue.app
Сервисы Apple (App Store Connect, APNs) и RevenueCat не входят в рамки; о проблемах с ними сообщайте этим компаниям.
Фишинг
Shipcue никогда не просит ключ API, пароль или логин в уведомлении, а наши уведомления не содержат внешних ссылок. Если вы получили такое уведомление, пожалуйста, перешлите его на security@shipcue.app.