Безопасность

Обзор

/ политика раскрытия

GChat работает по принципам согласованного раскрытия (coordinated disclosure). Нашли уязвимость — работайте с нами, мы работаем с вами. Эта страница и наш security.txt описывают ожидаемый процесс.

Область

• В области: gchat.tech и все поддомены, iOS- и Android-клиенты, опубликованная реализация протокола GChat.
• Вне области: сторонние хостинг-провайдеры, физические атаки, соц. инженерия на сотрудников команды, тестирование на отказ в обслуживании.

Как сообщить

1. Письмо на security@gchat.tech с чётким техническим описанием, шагами воспроизведения и (по возможности) PoC.
2. Мы подтверждаем получение в течение 3 рабочих дней.
3. Триаж и прогноз по срокам — в течение 10 рабочих дней.
4. Цель — выпустить фикс и публично раскрыть в течение 90 дней. По критическим проблемам действуем быстрее; по глубоким архитектурным — можем попросить больше времени по явному согласию с вами.

Вознаграждение

Мы на стадии пре-беты и пока не запустили программу вознаграждений. Как только появится бюджет, этот раздел опишет условия. До тех пор — публичные благодарности, тёплое «спасибо» и, если хотите, фирменный набор GChat.

Safe harbor

Мы обязуемся не инициировать юридические действия против исследователей, действующих добросовестно: в рамках указанной области, без нарушений приватности и сервиса, с предоставлением нам разумного времени на реакцию до публичного раскрытия.

Благодарности

Исследователи, ответственно раскрывшие уязвимости, перечислены здесь — с их согласия. Пока никого. Можете стать первым.