简体中文
Deutsch
English
Español
Français
Italiano
Português
Русский
العربية
हिन्दी
日本語
Android
iOS
Mac
Windows
报告
请发送电子邮件至 。请说明受影响的资产、复现步骤，以及对其影响的客观评估。信息越准确，我们就能越快完成审查。
我们的理念
安全需要团队协作。
安全研究人员不是对手。他们往往最先发现真正的漏洞。我们尊重每一位研究人员：坦诚答复、明确条款，并公正认可贡献。这是一项漏洞披露计划，符合条件的贡献可能获得荣誉榜致谢，也可能在逐案审查后获得我们自愿提供的小额酬谢金。它不是采用固定奖金或保证付款机制的传统漏洞赏金计划。
Apple 在官方安全更新中点名感谢了我们的创始人 Chris Bohn ，肯定了他报告 OS X 内核漏洞（CVE-2013-1029）的贡献。我们深知，一份优质报告需要付出多少努力，也深知公平对待研究人员的重要性。 来源： support.apple.com/en-us/103517
运作方式 第 01 步 第 02 步 第 03 步
三步推进漏洞修复。
没有繁琐手续。无需填写表单。没有不透明的流程。
初步评估
我们会审查可信的报告，通常在几个工作日内回复。如有延迟，我们会及时告知进展。
修复 & 致谢
修复按严重程度确定优先级。经过验证且符合条件的发现，可能获得荣誉榜致谢。对于适合的产品漏洞，我们会评估 CVE 协调事宜。
RFC 9116
security.txt
正在使用扫描器，或查看 /.well-known/security.txt？你已经直接找到我们了。
# https://www.protectstar.com/.well-known/security.txt Contact: mailto:security@protectstar.com Encryption: https://www.protectstar.com/security/pgp.asc Policy: https://www.protectstar.com/security Acknowledgments: https://www.protectstar.com/security/acknowledgments Preferred-Languages: en, de Canonical: https://www.protectstar.com/.well-known/security.txt Canonical: https://protectstar.com/.well-known/security.txt Expires: 2027-05-19T23:59:59Z
适用范围
哪些资产属于适用范围。
我们在初期有意限定适用范围，以便团队能够充分审查每一份报告。欢迎提交有关应用和 API 的报告，但这些报告将逐案审查。
范围内
- www.protectstar.com & protectstar.com 由 Protectstar 自行运营的公开网站区域
- 有公开文档说明的更新与下载完整性机制 Protectstar 基础设施上的签名和哈希值
- 已发布的文件完整性元数据 发布于 protectstar.com
- 其他子域名 仅限明确列出或经我们书面确认的子域名
范围外
- 第三方系统 & 服务 商店和支付服务提供商、应用商店、CDN/托管服务、外部引擎、SDK 及合作伙伴服务
- 未经明确确认的 API、许可证/激活服务器及内部系统
- 社会工程学 & 网络钓鱼 针对员工、客服或合作伙伴
- DoS / DDoS / 大流量测试
- 物理攻击
- Self-XSS，以及缺少最佳实践所建议的响应头但未造成影响的情况
- Beta / TestFlight / 预发布版本
应用、后端 API、桌面软件： 欢迎提交报告，但它们不会自动纳入适用范围，也不会自动获得致谢资格。我们会逐一审查每份报告。
安全港（Safe Harbor）
善意开展研究，我们会公平相待。
如果你善意开展安全研究，遵守本政策，并且仅针对明确列为范围内或经我们书面确认的资产，我们将视该研究为已获授权。对于此类研究，在相关法律主张属于我们控制范围的限度内，Protectstar 不会发起或支持法律行动。
要求
- 不得超出证明漏洞所必需的范围进行利用
- 在漏洞修复前，不得向第三方披露漏洞
- 不得外传、修改、删除、存储或共享不属于你的数据。尽可能使用测试账户
- 未经事先协调和书面批准，不得发布或披露；90 天是我们的参考期限，并不意味着自动获得授权
- 不得故意中断服务或破坏数据
- 遵守适用于你、你的研究及受影响系统的法律
如果你意外看到不属于你的数据，请立即停止。不得继续访问、复制、修改、删除或共享这些数据，并且仅报告核实所必需的最少信息。本承诺仅适用于 Protectstar 控制范围内的法律主张，并不授权任何法律禁止的行为。它不涵盖针对第三方系统、服务、网络或数据的活动，也不妨碍第三方独立采取行动。如有疑问，请事先询问，而不是事后询问。
贡献认可
以荣誉榜致谢为主。小额酬谢金逐案考虑。
Protectstar 不运营采用固定奖金或保证付款机制的传统漏洞赏金计划。我们侧重于公正审查、协调修复，并为符合要求的报告考虑荣誉榜致谢。此外，对于特别有帮助、已经验证、此前未知且属于范围内的漏洞报告，Protectstar 可自行决定是否自愿提供小额酬谢金。报告者不享有获得付款的权利；是否付款及具体金额，仅在完整技术报告通过验证后决定。
获得荣誉榜致谢须满足的条件
- 有效，并附有可复现的说明
- 此前未知，且尚未进入内部审查
- 根据上方列出的资产，属于范围内
- 最先提交（以首位报告者为准）
- 在不违反本政策的情况下报告
- 对 Protectstar 或我们用户的安全具有实质意义
- 在报告前、报告期间或报告后，均不伴随威胁或付款要求
严重程度分级
严重程度会影响修复优先级和可能的致谢方式。荣誉榜仍是我们主要的致谢形式。
| 严重程度 | 常见示例 | 可能的致谢方式 |
|---|---|---|
| 严重 | 远程代码执行、身份验证绕过、大规模数据泄露、更新完整性受损 | 荣誉榜致谢；经逐案审查后，可能考虑自愿提供小额酬谢金 |
| 高 | 权限提升、具有实际影响的密码学弱点、账户接管 | 荣誉榜致谢；经逐案审查后，可能考虑自愿提供小额酬谢金 |
| 中 | 存储型 XSS、具有可证明影响的 IDOR、会话问题 | 荣誉榜致谢；对于明确且可复现的影响，可能考虑自愿提供小额酬谢金 |
| 低 | 影响有限的反射型 XSS、未造成后果的信息披露 | 通常为荣誉榜致谢或感谢；仅在例外情况下提供金钱酬谢 |
我们以 CVSS 4.0 或 CVSS 3.1 为参考评估严重程度。最终评估由 Protectstar 作出；如有不同意见，可应要求提供书面解释。在收到并验证完整技术报告之前，我们不会协商金额。
响应时间
我们的目标时限。
我们是一支精简团队，并非全天候运作的安全运营中心（SOC）。以下时间是我们的目标。如有延迟，我们会通知你。
3 个工作日 确认收到报告（目标）
10 个工作日 初步技术评估（目标）
90 天 协调披露（目标）
加密
PGP 密钥。
如果报告包含敏感的漏洞细节，可以加密后发送。
密钥指纹
B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD
密钥 ID
0x3513CE31BD10B7AD
身份
PROTECTSTAR Support Hero
< >
< >
此密钥目前关联 ，Protectstar 已授权将其用于与 进行加密通信。
下载密钥荣誉榜
感谢帮助过我们的研究人员。
这些安全研究人员负责任地参与了我们的计划，帮助提升了产品的安全性。
- Ahmed Raza Nasir NursumarIndia社交媒体链接完整性
- Sakar BhandariNepal通过注册功能枚举账户 网站 API 错误处理
- Samrat AnandIndia新闻通讯订阅隐私 网站 API 错误处理
- Pathan AslamIndiaMY.PROTECTSTAR：出生日期验证
- Soham D. JadhavIndiaMY.PROTECTSTAR 会话安全
- Tom JijiIndia账户恢复滥用防护
- Pradyumn Tiwari (Nexus)India账户安全通知 下载链接滥用防范
- Sardar ZabiPakistan协调披露
- Aditya SinghIndia安全配置错误
- Peter LevashovSeveradao Security LLC通过 VDP 协调披露
可按要求使用你的法定姓名或化名列入名单。对于适合的产品漏洞，我们会评估通过合适的 CNA 开展 CVE 协调。
常见问题
提问之前。
善意研究意味着：遵守本政策，仅在必要范围内利用漏洞以证明其存在，先向我们报告，并给我们时间修复。如果你越过这些界限、外传用户数据，或扣留技术细节以要求付款，安全港将不再适用。
不会自动获得付款。Protectstar 不运营采用固定奖金或保证付款机制的传统漏洞赏金计划。荣誉榜是我们主要的致谢形式。对于特别有帮助、已经验证、此前未知且属于范围内的漏洞报告，我们可自行决定是否自愿提供小额酬谢金。在收到并验证完整技术报告之前，我们不会协商奖励。
我们接受匿名报告，并以相同方式进行技术处理。只要符合要求，我们会按你的请求以化名将你列入荣誉榜。
我们以 CVSS 4.0 或 CVSS 3.1 为参考，并结合你提供的演示所体现的影响因素进行评估。最终评估由 Protectstar 作出。如果我们的评估与你的不同，可应要求作出解释。
对于适合的产品漏洞，我们会评估通过合适的 CNA 或其他适当渠道开展 CVE 协调。我们不保证分配 CVE ID；这取决于 CNA 的 CVE 规则。
可以，但仅限以非侵入式、限制请求速率的方式，对明确列为范围内的资产进行扫描。不允许使用激进工具、发送高频请求，或开展可能影响其他用户正常使用的测试。未经验证实际影响的原始扫描结果，例如缺少响应头、TLS 提示或版本信息披露，不具备获得致谢的资格。如有疑问，请先询问。
以首位报告者为准。如果漏洞已在内部知悉或已由他人报告，则不具备获得致谢的资格。我们会尽早告知你。
欢迎提交有关 Protectstar 应用和 API 的报告。但在这个初期阶段，我们会逐案审查，且这些报告不会自动获得致谢资格，除非受影响的资产已在上方明确列出或经我们书面确认。尽管如此，仍请将报告发送给我们。
请向我们发送报告。
我们会审查可信的报告，通常在几个工作日内回复。
支持 PGP · security.txt 符合 RFC 9116 · 为善意研究提供安全港