Политика раскрытия уязвимостей

Версия 1.1 · Дата вступления в силу: 14 октября 2026 г. · Последнее обновление: 11 октября 2026 г.

Перевод для ознакомления. Юридически обязывающей является английская версия настоящего документа; при любом расхождении преимущественную силу имеет английский текст.

Мы приветствуем сообщения от исследователей безопасности. Если вы считаете, что обнаружили уязвимость в LiKE, пожалуйста, сообщите нам.

Как сообщить

Напишите на [email protected] — одно письмо на каждую проблему, на английском или русском языке, указав:

описание проблемы и её последствий;
шаги для воспроизведения (помогут короткое видео или скриншоты);
затронутый URL или endpoint;
ваше имя или псевдоним, если вы хотите, чтобы вас указали на этой странице.

Пожалуйста, не включайте в сообщение персональные данные других людей.

Мы рассматриваем все полученные сообщения. Мы можем связаться с вами, если нам понадобится дополнительная информация.

Что для нас важнее всего

доступ к данным в рабочем пространстве или организации другого клиента;
обход аутентификации или захват учётной записи другого пользователя;
ошибки авторизации в нашем API;
получение от наших AI-функций данных из рабочего пространства, к которому у вас нет доступа.

Область действия

Входит в область действия: lynkora.pro и его поддомены, эксплуатируемые Lynkora, включая рабочие пространства клиентов (*.lynkora.pro), а также наш API.

Не входит в область действия: сторонние сервисы, которыми мы пользуемся (например, провайдеры платёжной страницы и доставки электронной почты), и любые системы, не эксплуатируемые Lynkora.

Правила

Тестируйте только с использованием учётных записей и рабочих пространств, которые принадлежат вам. Для тестирования зарегистрируйте собственную учётную запись на lynkora.pro.
Чтобы помочь нам отличить ваше тестирование от реальной активности, пожалуйста, при регистрации добавьте к адресу электронной почты тег +security, если ваш почтовый провайдер это поддерживает (например, [email protected] — письма по-прежнему будут приходить в ваш обычный ящик), и включите слово "test" в название рабочего пространства. Пожалуйста, удалите тестовые учётные записи по окончании работы.
Не получайте доступ к данным, принадлежащим другим, не изменяйте и не удаляйте их. Если вы случайно получили доступ к чужим данным, остановитесь, не сохраняйте их копию и сообщите нам.
Не подбирайте пароли перебором (brute force), не используйте утёкшие учётные данные и не создавайте больше нескольких учётных записей.
При проверке ограничений частоты запросов (rate limits) отправляйте не более 10 запросов. Этого достаточно, чтобы продемонстрировать проблему.
Не проводите атаки типа «отказ в обслуживании» (DoS) или нагрузочное тестирование, высокоинтенсивное автоматическое сканирование, социальную инженерию, фишинг или физические атаки.
Не совершайте реальных или мошеннических платежей.
Не раскрывайте информацию о проблеме публично до тех пор, пока мы не выпустим исправление (срок неразглашения — 90 дней).

Не принимается

Мы не принимаем сообщения о:

проблемах, уже известных нам или сообщённых ранее;
теоретических проблемах без подтверждения концепции (proof of concept);
результатах автоматических сканеров без продемонстрированных последствий;
отсутствии заголовков безопасности или флагов cookie без работающей атаки;
clickjacking на страницах без чувствительных действий;
конфигурации SPF, DKIM или DMARC;
отказе в обслуживании, нагрузочном тестировании или ограничениях частоты запросов на endpoint'ах, не связанных с аутентификацией;
социальной инженерии или физических атаках;
перечислении (enumeration) учётных записей или адресов электронной почты;
парольной политике (длина или сложность);
раскрытии версий ПО, сборе баннеров (banner grabbing) или подробных страницах ошибок без чувствительных данных;
проблемах, требующих скомпрометированного устройства, позиции «человек посередине» (man-in-the-middle) или маловероятных действий пользователя;
self-XSS, CSRF при выходе из системы (logout CSRF) или CSRF в формах без чувствительных действий;
способах превысить лимиты тарифа (например, лимиты AI-токенов или мест) без доступа к данным других клиентов;
поведении AI-модели, например обходе ограничений (jailbreak), внедрении инструкций в запрос (prompt injection) или неточных ответах, если только это не раскрывает данные из рабочего пространства, к которому у вас нет доступа.

Вознаграждения

Мы не ведём платную программу вознаграждений за обнаружение уязвимостей (bug bounty) и не платим за сообщения. С вашего согласия мы можем указать ваше имя на этой странице за обоснованные находки, входящие в область действия, после их устранения.

Добросовестность

Мы считаем санкционированными исследования, проведённые добросовестно и в соответствии с настоящими правилами.

Благодарности

Благодарим следующих исследователей за ответственное сообщение о проблемах:

(пока нет)

---

Мы можем время от времени обновлять настоящую политику.