本頁為方便使用者而提供的翻譯版本。若與英文版有任何差異，以英文版為準。 閱讀英文版
負責任的漏洞揭露
發現資安問題嗎？請在別人發現之前先告訴我們，以免付出慘痛代價。
我們非常重視外部研究人員的通報，寧願直接收到您的來信，也不想事後才看到相關文章。本頁說明適用範圍、通報方式，以及您可以預期的回覆。
範圍
本政策涵蓋的範圍。
範圍內
- myshieldid.com 及其位於 myshieldid.com/us 的美國版頁面、轉址網域 shieldid.ca 與 myshieldid.ca，以及它們的子網域，包括行銷網站、驗證流程與帳戶入口網站
- 公開的 ShieldID API
- 任何由 ShieldID 營運之系統上的身分驗證、工作階段處理與存取控制
範圍之外
- 我們並未營運的產品與網站，即使它們使用 ShieldID（RentKey、Crown Ledger 與 Trust Ledger 各有自己的資安聯絡窗口）
- 我們所整合的第三方服務，除非問題出在我們使用它們的方式
如何通報
請寄電子郵件給我們。請勿先公開提出議題或發文。
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
請附上：
- 問題類型，以及受影響的 URL、端點或系統
- 重現步驟，或概念驗證
- 您能夠存取或達成的內容，以及您如何確認
- 所使用的任何工具或腳本，讓我們能完全重現您的步驟
我們的承諾
會回覆確認、認真調查，且不會讓善意的研究惹上法律麻煩。
確認收到
我們的目標是在收到有效通報後三個工作日內確認收件。這是我們公開聲明的目標，而非實際測得的平均值。
認真的調查
每一份通報都會由能夠採取行動的人審閱，而不是被丟進一個石沉大海的表單過濾掉。
善意研究不會被採取法律行動
如果您本於善意、在本政策的範圍內發現並通報漏洞，且沒有存取、修改或竊取超出證明問題所需的資料，我們不會就該研究對您採取法律行動。
目前沒有漏洞賞金
我們目前沒有提供付費的漏洞賞金計畫。我們不會承諾無法兌現的獎勵，但我們承諾會閱讀並處理您寄來的內容。
範圍之外
通報時請勿進行下列任何行為。
- 對我們的員工、承包商或客戶進行社交工程攻擊
- 以實體方式嘗試進入我們的辦公室或基礎設施
- 阻斷服務測試，或任何會降低真實申請人服務品質的行為
- 未事先詢問我們，就以可能影響其他使用者的規模進行自動化掃描
- 存取、修改或刪除他人的資料，且超出證明問題所需的範圍
- 垃圾郵件、網路釣魚，或任何以測試我們員工自身判斷力(而非系統)為目標的嘗試
安全港條款
歡迎在本政策範圍內本於善意進行研究。
我們認為依本政策進行的資安研究是經過授權的，並且不會就該研究提起法律行動。這是一般性的安全港條款說明，不能取代針對您個人情況的法律建議；如果您不確定某項測試是否在範圍內，請在測試前先詢問我們。
常見問題