Как сообщить
Напишите на security@pikonet.io и укажите:
- описание проблемы и её возможные последствия;
- шаги для воспроизведения или доказательство концепции;
- версию приложения и платформу или затронутый адрес.
По возможности пишите на английском или русском. В нашем файле security.txt те же контакты в машиночитаемом виде.
Что входит в область
- Приложения Piko для Android и iOS.
- Сайты pikonet.io и pikovpn.net.
Не входят: серверы и панели VPN-провайдеров (сообщайте провайдеру), атаки типа «отказ в обслуживании», социальная инженерия, спам, отчёты автоматических сканеров без доказанных последствий и отсутствие рекомендуемых настроек без практических последствий.
Чего ожидать от нас
- Мы подтвердим получение сообщения в течение 5 рабочих дней и будем держать вас в курсе.
- Мы исправляем подтверждённые проблемы как можно быстрее и, если хотите, упомянем вас в примечаниях к выпуску.
- Если вы действуете добросовестно и соблюдаете правила на этой странице, мы не будем предпринимать против вас юридических действий из-за вашего исследования.
- У нас нет платной программы вознаграждений за уязвимости.
Правила исследования
- Проверяйте только на своих устройствах и подписках. Не проверяйте на серверах VPN-провайдеров и на чужих данных.
- Не получайте доступ к чужим данным, не изменяйте и не удаляйте их. Если вы наткнулись на такие данные, остановитесь и сообщите нам.
- Не нарушайте работу наших и чужих сервисов.
- Дайте нам разумное время на исправление, прежде чем публиковать информацию. Мы предлагаем 90 дней.