简体中文
Deutsch
English
Español
Français
Italiano
Português
Русский
العربية
हिन्दी
日本語
Android
iOS
Mac
Windows
报告
发送邮件至 。请描述资产、复现步骤和实际影响。描述越精确，我们越能快速审查。
我们的立场
安全是团队协作。
安全研究人员不是对手。他们往往是最先发现真实漏洞的人。我们会以应有的尊重对待你：诚实答复、清晰条款和公平署名。这是一个漏洞披露计划，符合条件的报告可能获得 Hall of Fame 认可，并在个案审查后可能获得自愿的小额致谢款项。它不是具有固定或保证付款的传统漏洞赏金计划。
Apple 在官方安全更新中点名致谢我们的创始人 Chris Bohn ，原因是其报告了 OS X 中的一个内核漏洞（CVE-2013-1029）。我们深知一份高质量报告需要付出多少工作，也深知公平对待的重要性。 来源: support.apple.com/en-us/103517
工作流程 步骤 01 步骤 02 步骤 03
三个步骤走向修复。
没有官僚流程。没有表格。没有隐藏流程。
初步分诊
我们会审查可信报告，通常会在几个工作日内回复。如有延迟，我们会及时告知进展。
修复 & 认可
修复会按严重程度排序。符合条件且经过验证的发现可能会列入我们的 Hall of Fame。对于合适的产品漏洞，我们会评估 CVE 协调。
RFC 9116
security.txt
正在使用扫描器或检查 /.well-known/security.txt？你找对地方了。
# https://www.protectstar.com/.well-known/security.txt Contact: mailto:security@protectstar.com Encryption: https://www.protectstar.com/security/pgp.asc Policy: https://www.protectstar.com/security Acknowledgments: https://www.protectstar.com/security/acknowledgments Preferred-Languages: en, de Canonical: https://www.protectstar.com/.well-known/security.txt Canonical: https://protectstar.com/.well-known/security.txt Expires: 2027-05-19T23:59:59Z
范围
范围内的内容。
我们从有意收窄的范围开始，以便团队能够认真审查每一份报告。关于应用和 API 的报告也欢迎提交，但会按个案审查。
范围内
- www.protectstar.com & protectstar.com 由 Protectstar 自身运营的公开网站区域
- 公开文档化的更新和下载完整性机制 Protectstar 基础设施上的签名和哈希
- 已发布的文件完整性元数据 发布于 protectstar.com
- 其他子域名 仅限明确列出或由我们书面确认的情况
范围外
- 第三方系统 & 服务 商店和支付提供商、应用商店、CDN/托管、外部引擎、SDK 和合作伙伴服务
- 未明确确认的 API、许可/激活服务器和内部系统
- 社会工程 & 网络钓鱼 针对员工、支持团队或合作伙伴
- DoS / DDoS / 流量压力测试
- 物理攻击
- 无影响的 Self-XSS 和缺失最佳实践标头
- Beta / TestFlight / 预发布版本
应用、后端 API、桌面软件： 我们欢迎提交报告，但它们不会自动进入范围或自动符合认可条件。我们会按个案审查每份报告。
安全港
善意研究。我们会公平对待你。
如果你在本政策范围内、以善意方式，仅针对明确列为范围内或由我们书面确认的资产进行安全研究，我们会将该研究视为已授权。在相关主张属于我们控制范围内的程度上，Protectstar 不会因该研究发起或支持法律行动。
要求
- 不得进行超过证明漏洞所必需范围的利用
- 修复前不得向第三方披露漏洞
- 不得外传、修改、删除、存储或分享不属于你的数据。尽可能使用测试账号
- 未经事先协调和书面批准，不得发布或披露；90 天是我们的指导原则，并非自动授权
- 不得故意中断服务或破坏数据
- 遵守适用于你、你的研究以及受影响系统的法律
如果你意外看到不属于你的数据，请立即停止，不要继续访问、复制、修改、删除或分享，只报告验证所需的最少信息。本保证仅适用于 Protectstar 控制范围内的主张，并不授权任何法律禁止的行为。它不适用于针对第三方系统、服务、网络或数据的活动，也不排除第三方采取独立行动。如有疑问：先询问，不要事后再问。
认可
优先 Hall of Fame。小额致谢款项按个案考虑。
Protectstar 不运营具有固定或保证付款的传统漏洞赏金计划。我们的重点是公平审查、协调修复，并可能对符合要求的报告给予 Hall of Fame 认可。此外，Protectstar 可自行决定，对特别有帮助、已验证、此前未知且范围内的报告提供小额自愿金钱致谢。不存在付款权利；金额以及是否付款，仅在完整技术报告验证后决定。
可能获得 Hall of Fame 认可的要求
- 有效并以可复现方式记录
- 此前未知且未处于内部审查中
- 根据上述范围属于范围内
- 首先提交（以第一位报告者为准）
- 在未违反本政策的情况下报告
- 与 Protectstar 或用户的安全实质相关
- 报告前、报告中或报告后没有威胁或付款要求
严重性分类
严重性会影响修复优先级和可能的认可。Hall of Fame 仍是我们的主要认可形式。
| 严重性 | 常见示例 | 可能的认可 |
|---|---|---|
| 严重 | 远程代码执行、身份验证绕过、大规模数据泄露、更新完整性受损 | Hall of Fame；经个案审查后可能考虑小额自愿致谢款项 |
| 高 | 权限提升、有影响的加密弱点、账号接管 | Hall of Fame；经个案审查后可能考虑小额自愿致谢款项 |
| 中 | 存储型 XSS、具有可证明影响的 IDOR、会话问题 | Hall of Fame；对于清晰且可复现的影响，可能考虑可选的小额致谢款项 |
| 低 | 影响有限的反射型 XSS、无实际后果的信息披露 | 通常为 Hall of Fame 或致谢；仅在特殊情况下给予金钱认可 |
严重性以 CVSS 4.0 或 CVSS 3.1 作为参考进行评估。Protectstar 做出最终评估；如有请求，我们可以书面说明不同评估。我们不会在收到并验证完整技术报告之前协商金额。
响应时间
我们的目标时间。
我们是精简团队，并非 24/7 SOC。这些数字是我们的目标。如有延迟，我们会告知你。
3 个工作日 确认收到（目标）
10 个工作日 初步技术分诊（目标）
90 天 协调披露（目标）
加密
PGP 密钥。
对于敏感漏洞详情，你可以加密发送报告。
指纹
B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD
密钥 ID
0x3513CE31BD10B7AD
身份
PROTECTSTAR Support Hero
< >
< >
此密钥目前关联到 ，并由 Protectstar 授权用于与 进行加密通信。
下载密钥 Hall of Fame October 2026 October 2026 September 2026 September 2026 September 2026 September 2026 September 2026 August 2026 May 2026
帮助过我们的人。
负责任地使用本计划并帮助提升我们产品安全性的安全研究人员。
Peter Levashov
SEVERADAO SECURITY LLCResponsible, coordinated disclosure through our Vulnerability Disclosure Program. Thank you.
可按请求使用法定姓名或化名展示。对于合适的产品漏洞，我们会通过适当的 CNA 评估 CVE 协调。
常见问题
在提问之前。
善意研究意味着：你遵守本政策，在不超过必要范围的情况下证明漏洞，先向我们报告，并给我们时间修复。如果你越过该界限、外传用户数据，或扣留技术细节以索要付款，安全港将不再适用。
不会自动获得。Protectstar 不运营具有固定或保证付款的传统漏洞赏金计划。Hall of Fame 是我们的主要认可形式。对于特别有帮助、已验证、此前未知且范围内的报告，我们可自行决定提供小额自愿金钱致谢。我们不会在收到并验证完整技术报告之前协商奖励。
我们接受匿名报告，并在技术上以相同方式处理。如符合要求，我们可按请求以化名将你列入 Hall of Fame。
我们以 CVSS 4.0 或 CVSS 3.1 为参考，并结合你演示中的影响因素。Protectstar 做出最终评估。如果我们的评估与你不同，我们可按请求进行说明。
对于合适的产品漏洞，我们会通过适当的 CNA 或其他合适渠道评估 CVE 协调。CVE ID 不保证发放，并取决于 CNA 的 CVE 规则。
可以，但只能以非侵入、限速方式，并仅针对明确列为范围内的资产。不得使用激进工具、高请求速率，或可能影响其他用户可用性的测试。没有经验证影响的扫描器原始输出，例如缺失标头、TLS 备注或版本披露，不符合认可条件。如有疑问：请先询问。
以第一位报告者为准。如果漏洞已在内部知悉或已被报告，则不符合认可条件。我们会尽早告知你。
我们欢迎关于 Protectstar 应用和 API 的报告。不过在第一阶段，它们会按个案审查，除非受影响资产在上方明确列出或由我们书面确认，否则不会自动符合认可条件。尽管如此，仍请发送你的报告。
把报告发给我们。
我们会审查可信报告，通常在几个工作日内回复。
支持 PGP · security.txt 符合 RFC 9116 · 面向善意研究的安全港