漏洞披露政策
版本 1.1 · 生效日期：2026年10月14日 · 最后更新：2026年10月11日
本译文仅供参考及便利之用。本文件仅英文版本具有法律效力；如有歧义、含糊或抵触之处，以英文文本为准。
我们欢迎安全研究人员提交报告。如您认为在 LiKE 中发现了漏洞，请告知我们。
如何报告
请发送电子邮件至 [email protected]，每个问题单独一封邮件，使用英文或俄文，并包含：
- 问题及其影响的描述；
- 复现步骤（简短视频或截图会有所帮助）；
- 受影响的 URL 或端点；
- 您的姓名或网名（如您希望在本页面列名）。
请勿在报告中包含他人的个人数据。
我们会审阅收到的所有报告。如需更多信息，我们可能会与您联系。
我们最关注的问题
- 访问其他客户的工作区或组织中的数据；
- 绕过身份验证或接管其他用户的账户；
- 我们 API 中的授权缺陷；
- 使我们的 AI 功能泄露您无权访问的工作区中的数据。
范围
范围内： 由 Lynkora 运营的 lynkora.pro 及其子域名，包括客户工作区（*.lynkora.pro），以及我们的 API。
范围外： 我们使用的第三方服务（例如支付结账及电子邮件投递服务提供商），以及任何非由 Lynkora 运营的系统。
规则
- 仅使用您拥有的账户和工作区进行测试。请在 lynkora.pro 注册您自己的账户用于测试。
- 为帮助我们将您的测试与真实活动区分开来，如您的邮件服务商支持，请在注册时于电子邮件地址中添加
+security标签（例如[email protected]——邮件仍会送达您常用的收件箱），并在工作区名称中包含 "test"。测试完成后，请删除您的测试账户。 - 请勿访问、修改或删除属于他人的数据。如您意外接触到他人的数据，请停止操作，不要保留副本，并告知我们。
- 请勿暴力破解（brute-force）密码、使用泄露的凭据，或创建超过少数几个的账户。
- 测试速率限制（rate limit）时，请发送不超过 10 次请求。这足以证明问题。
- 请勿进行拒绝服务（DoS）或负载测试、大规模自动化扫描、社会工程、网络钓鱼或物理攻击。
- 请勿进行真实或欺诈性支付。
- 在我们发布修复之前，请勿公开披露该问题（90 天不披露期）。
不予受理的报告
我们不受理以下报告：
- 我们已知或此前已被报告的问题；
- 没有概念验证（proof of concept）的理论性问题；
- 未展示实际影响的自动化扫描器输出；
- 没有可行攻击的安全标头或 Cookie 标志缺失；
- 不含敏感操作的页面上的点击劫持（clickjacking）；
- SPF、DKIM 或 DMARC 配置；
- 拒绝服务（DoS）、负载测试或非身份验证端点上的速率限制；
- 社会工程或物理攻击；
- 账户或电子邮件枚举；
- 密码策略（长度或复杂度）；
- 不含敏感数据的软件版本泄露、banner 抓取（banner grabbing）或详细错误页面；
- 需要已被入侵的设备、man-in-the-middle（中间人）位置或不太可能发生的用户交互的问题；
- self-XSS、注销 CSRF，或不含敏感操作的表单上的 CSRF；
- 在未访问其他客户数据的情况下超出套餐限额（例如 AI tokens 或席位限额）的方法；
- AI 模型行为，例如 jailbreak（越狱）、prompt injection（提示词注入）或不准确的回答，除非其暴露您无权访问的工作区中的数据。
奖励
我们不运营付费 bug bounty（漏洞赏金）计划，也不为报告支付报酬。经您同意，对于范围内的有效发现，在其修复后，我们可能会在本页面列出您的姓名。
善意
我们认为本着善意并遵守本规则开展的研究属于经授权的研究。
致谢
感谢以下研究人员负责任地报告问题：
（暂无）
---
我们可能会不时更新本政策。