Безопасность и сообщения об уязвимостях

Черновик

Это рабочий черновик на время превью платформы для разработчиков. Он описывает текущую практику, а не договорное обязательство, и будет заменён проверенной политикой до общедоступного релиза.

Куда сообщать

Напишите контакту, указанному в приветственном сообщении, на почту или в Telegram, и начните со слова «security» (в письме — в теме). Адрес developers@tango.vision доходит до тех же людей; если именного контакта у вас нет, пишите на него со словом «security» в теме письма. Отвечаем в тот же рабочий день по московскому времени.

Программы вознаграждений нет, отдельного портала раскрытия нет, опубликованного PGP-ключа сегодня тоже нет; если вам нужен шифрованный канал, напишите первое сообщение без подробностей — мы его организуем.

Что помогает

• Что вы нашли и в каком хосте, эндпоинте или пакете.
• Шаги воспроизведения и то, что вы наблюдали, а не то, что вы из этого выводите.
• Достигли ли вы этого из своей песочницы, с публичного сайта или откуда-то ещё.
• Были ли затронуты чужие данные. Если считаете, что да, — скажите об этом первой строкой.

О чём мы просим вас

• Проверяйте на своей песочнице, а не на рабочей среде заказчика и не на продуктивной оболочке. Песочница ваша, здание заказчика — нет.
• Не запускайте нагрузочное тестирование, отказ в обслуживании и автоматическое сканирование по общей инфраструктуре: кластер общий, см. Песочницы по запросу.
• Не получайте доступ к чужим данным, не изменяйте и не сохраняйте их. Остановитесь там, где проблема уже показана.
• Дайте нам разумную возможность исправить, прежде чем публиковать.

Действия в этих рамках и добросовестно мы не будем считать нарушением Условий использования для разработчиков.

Чего ожидать

Мы подтверждаем получение в тот же рабочий день по московскому времени и сообщаем, что выяснили. Сроков исправления на время превью мы не обещаем — это честнее, чем число, которое мы не измеряли. Серьёзные проблемы разбираются вне очереди.

Это не сообщение об уязвимости

Битые ссылки, ошибки в документации, падающая сборка, песочница, которая не поднимается, — те же контакты, но без слова «security».