本页面为便利性翻译。如与英文版存在差异，以英文版为准。 阅读英文版
负责任披露
发现安全问题？请先告诉我们，别等到别人用最惨痛的方式才让我们知道。
我们认真对待外部研究人员的报告，宁愿直接听到你的反馈，也不愿事后才看到相关文章。本页说明了哪些在范围内、如何报告，以及你可以期待我们怎样回应。
范围
本政策涵盖的范围。
在范围内
- myshieldid.com 及其位于 myshieldid.com/us 的美国页面、转发域名 shieldid.ca 和 myshieldid.ca 及其子域名，包括营销网站、验证流程和账户门户
- 公开的 ShieldID API
- 任何由 ShieldID 运营的系统上的身份验证、会话处理和访问控制
范围之外
- 我们不运营的产品和网站，即使它们使用 ShieldID(RentKey、Crown Ledger 和 Trust Ledger 有各自的安全联系人)
- 我们集成的第三方服务，除非问题出在我们使用这些服务的方式上
如何报告
请给我们发送电子邮件。请不要先提交公开 issue 或发帖。
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
请包含：
- 问题类型，以及受影响的 URL、端点或系统
- 复现步骤，或概念验证
- 你能够访问或实现的内容，以及你如何确认
- 所用的任何工具或脚本，以便我们精确复现你的步骤
我们的承诺
确认收到、认真审查，并且对善意研究不追究法律责任。
确认收到
我们力争在收到有效报告后的三个工作日内确认收到。这是我们公开声明的目标，而非实测平均值。
真正的调查
每份报告都由能够采取行动的人审阅，而不是被一个石沉大海的表单过滤掉。
对善意研究不采取法律行动
如果你出于善意、在本政策范围内发现并报告漏洞，且未访问、修改或窃取超出证明该问题所需的数据，我们不会因该研究对你采取法律行动。
目前没有漏洞赏金
我们目前没有开展付费漏洞赏金计划。我们不会承诺无法兑现的奖励，但我们承诺会阅读并处理你发给我们的内容。
范围之外
报告过程中请勿进行以下任何行为。
- 对我们的员工、承包商或客户进行社会工程攻击
- 以物理方式试图进入我们的办公场所或基础设施
- 拒绝服务测试，或任何会降低真实申请人服务质量的行为
- 未事先征得我们同意，就以可能影响其他用户的规模进行自动化扫描
- 访问、修改或删除他人的数据，超出证明问题所必需的范围
- 垃圾邮件、网络钓鱼，或任何旨在测试我们员工自身判断力而非系统的行为
安全港
欢迎在本政策范围内、出于善意开展的研究。
我们认为，依照本政策开展的安全研究属于获得授权的行为，我们不会对此类研究发起法律行动。这是通用的安全港条款，不能替代针对你个人情况的法律建议——如果你不确定某项测试是否在范围内，请在测试前先询问我们。
常见问题