Как сообщить
Отправьте письмо на sd@5factor.ru с темой «Уязвимость на 5factor.ru». Если находка содержит чувствительные детали, сначала запросите безопасный способ их передачи.
Полезно указать:
- адрес страницы или компонент;
- краткое описание риска и ожидаемого влияния;
- минимальные шаги воспроизведения;
- дату и время проверки, браузер или инструмент;
- обезличенный скриншот, фрагмент запроса или журнала;
- контакт для уточнений и желаемый способ упоминания после исправления.
Область проверки
Порядок относится к публично доступным страницам и функциям домена 5factor.ru, которыми управляет «Пятый фактор». Системы клиентов, подрядчиков, хостинга и другие ресурсы вне этого домена входят в область проверки только после отдельного письменного разрешения их владельца.
Безопасная проверка
Допустима аккуратная проверка, необходимая для подтверждения самой проблемы: просмотр публичного ответа, повтор одного запроса с безопасными тестовыми данными и создание минимального доказательства без доступа к чужой информации.
Как только риск подтверждён, остановите проверку и отправьте сообщение. Используйте собственную учётную запись и искусственные данные.
Что исключено
- нагрузочные атаки, массовое сканирование и действия, способные нарушить доступность сайта;
- получение, копирование, изменение или удаление чужих данных;
- подбор паролей, фишинг, обман сотрудников и другие методы воздействия на людей;
- загрузка вредоносного кода, закрепление в системе и сохранение скрытого доступа;
- изменение содержимого сайта или настроек рабочей среды;
- публикация технических деталей до согласования срока исправления.
Если для подтверждения требуется действие из этого списка, сначала получите письменное разрешение с точным описанием метода, времени и ограничений.
Как обрабатывается сообщение
Получение письма подтверждается в течение 3 рабочих дней. Предварительная оценка и план следующего шага обычно направляются в течение 7 рабочих дней. Срок исправления зависит от серьёзности, архитектуры и участия внешних поставщиков; при длительной работе автор получает обновления по согласованному графику.
После исправления команда проверяет результат и сообщает о закрытии. Публичное раскрытие деталей и имя автора согласуются отдельно.
Добросовестное исследование
При соблюдении этой политики, минимизации воздействия и своевременном сообщении «Пятый фактор» рассматривает исследование как добросовестную помощь и не инициирует претензии из-за самой разрешённой проверки.
Эта политика не устанавливает денежное вознаграждение. Любая благодарность, публичное упоминание или иной формат признания обсуждаются после проверки и исправления.
Данные автора сообщения
Контактные данные и материалы сообщения используются для проверки, исправления, связи с автором и защиты сайта. Просьбу об анонимности или особом порядке упоминания можно указать в первом письме. Общие правила описаны в Политике обработки персональных данных.