Безопасность и ответственное раскрытие уязвимостей

Наш подход

Это небольшой простой сайт, который хранит очень мало данных. Это сделано намеренно: данные, которые мы не храним, нельзя украсть. Мы усиливаем защиту там, где это важно, а остальное оставляем простым.

Как защищён сайт

• Соединения зашифрованы, а браузерам предписано использовать только HTTPS
• Строгая политика безопасности содержимого разрешает работать на страницах только нашему коду и короткому списку названных сервисов
• Публичные страницы статичны. На публичном сайте нет базы посетителей, системы учётных записей и входа
• Формы связи и отклика используют проверку на спам от Cloudflare, скрытое поле-ловушку и проверку минимального времени, а загружаемые резюме ограничены по типу и размеру
• Рекламных трекеров нет
• Страница, где мы редактируем сайт, отделена. Войти могут только названные люди, через GitHub, и каждое изменение записывается и может быть отменено
• Сайт обслуживается через Cloudflare, который фильтрует потоки трафика и известные вредоносные запросы до того, как они достигнут сайта

Как сообщить об уязвимости

Если вы нашли слабое место, напишите на адрес для сотрудничества со страницы «Контакты». Укажите страницу, что вы делали и что увидели, и не разглашайте подробности, пока мы не исправим проблему. Этот контакт мы публикуем и в файле security.txt.

Мы просим проверять только на собственных данных, не получать доступ к чужой информации и не изменять её, не проводить проверки, замедляющие сайт, и не применять социальную инженерию. Мы подтвердим получение вашего сообщения в течение пяти рабочих дней и будем информировать вас о ходе работы. Мы не будем предпринимать юридических действий против исследований, проведённых добросовестно в этих рамках.

Мошеннические сообщения

Мы никогда не просим пароли, данные карт или срочные платежи по электронной почте, в сообщениях или через этот сайт. Наши гонорары основаны на подписанном договоре. Если сообщение от нашего имени требует денег или смены банковских реквизитов, прежде чем действовать, проверьте это у нас по телефону, указанному на странице «Контакты».

Файл безопасности

Наш контакт для сообщений о безопасности также опубликован в стандартном месте, /.well-known/security.txt, чтобы исследователи и автоматические инструменты могли его найти.