本頁為方便閱讀而提供嘅翻譯。如與英文版有任何差異,一概以英文版為準。 閱讀英文版
負責任披露
發現安全問題？請喺其他人吃虧之前先話畀我哋知。
我哋非常重視外部研究人員嘅報告，寧願你直接聯絡我哋，都好過事後先見到文章披露。本頁說明適用範圍、舉報方式，以及你可以預期嘅回覆。
範圍
本政策涵蓋嘅範圍。
範圍內
- myshieldid.com 及其位於 myshieldid.com/us 嘅美國頁面、轉址網域 shieldid.ca 同 myshieldid.ca，以及上述網域嘅子網域，包括宣傳網站、驗證流程同帳戶入口
- 公開嘅 ShieldID API
- 任何由 ShieldID 營運嘅系統上嘅身分驗證、工作階段處理同存取控制
範圍以外
- 並非由我哋營運嘅產品同網站，即使佢哋使用 ShieldID（RentKey、Crown Ledger 同 Trust Ledger 各自有獨立嘅安全聯絡渠道）
- 我哋所整合嘅第三方服務，除非問題出喺我哋使用佢哋嘅方式
如何舉報
請以電郵聯絡我哋。唔好先提交公開問題或者發帖。
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
請提供:
- 問題類型，以及受影響嘅 URL、端點或系統
- 重現步驟，或者概念驗證
- 你能夠存取或達成嘅內容，以及你係點樣確認嘅
- 所用嘅任何工具或腳本，等我哋可以完全重現你嘅步驟
我哋嘅承諾
確認收到、認真審視，而且真誠研究唔會惹上法律麻煩。
確認收到
我哋目標係收到有效報告後三個工作天內確認收到。呢個係我哋公開講明嘅目標，並非實測得出嘅平均值。
真正嘅調查
每份報告都會由有能力跟進嘅人審閱，而唔係交畀一份冇下文嘅表格去過濾。
真誠研究唔會面對法律行動
如果你真誠地發現並舉報漏洞，屬於本政策範圍之內，而且冇存取、修改或竊取超出示範問題所需嘅資料，我哋唔會就該項研究對你採取法律行動。
暫時冇漏洞賞金
我哋目前冇推行有償漏洞賞金計劃。我哋唔會承諾自己做唔到嘅獎勵，但會承諾閱讀你寄畀我哋嘅內容並採取行動。
範圍以外
提交報告時，請唔好做以下任何一件事。
- 對我哋嘅員工、承辦商或客戶進行社交工程攻擊
- 嘗試以實體方式進入我哋嘅辦公室或基礎設施
- 阻斷服務測試，或者任何會令真正申請人使用服務時受影響嘅行為
- 事先未經我哋同意，進行大規模、可能影響其他用戶嘅自動掃描
- 存取、修改或刪除他人資料，而且超出示範問題所需嘅程度
- 垃圾郵件、網絡釣魚，或者任何測試我哋員工自身判斷而非測試系統嘅嘗試
安全港
歡迎你喺本政策範圍內，真誠進行研究。
我哋視按照本政策進行嘅安全研究為已獲授權，亦唔會就該等研究提出法律行動。呢段係一般嘅安全港條文，並不能取代針對你個人情況嘅法律意見——如果你唔肯定某樣嘢係咪屬於範圍之內，請於測試前先問我哋。
問題