Политика безопасности

Последнее обновление: 17 October 2026

Мы серьёзно относимся к безопасности YourImageShare и людей, которые им пользуются. Если вы нашли уязвимость, спасибо, что рассказали нам о ней. На этой странице объясняется, как сообщить о ней, чего вы можете ожидать от нас и каковы правила безопасного тестирования.

1. Как сообщить об уязвимости

Напишите на [email protected] или воспользуйтесь формой обратной связи, начав тему со слова «Security». Пожалуйста, не сообщайте об уязвимостях в открытых местах (задачи на GitHub, комментарии, социальные сети), пока они не исправлены.

Пожалуйста, укажите:

  • описание проблемы и того, что мог бы сделать злоумышленник;
  • точные шаги, ссылки и запросы, необходимые для воспроизведения (мы будем рады доказательству концепции);
  • затронутую часть: страница сайта, конечная точка API, расширение для браузера, плагин для WordPress, SDK, бот;
  • как вы хотели бы быть указаны в благодарностях, если вообще хотели бы.

Наши контактные данные в машиночитаемом виде находятся в файле /.well-known/security.txt.

2. Чего вы можете ожидать от нас

  • Подтверждение получения в течение 5 рабочих дней.
  • Первичная оценка (можем ли мы воспроизвести проблему и насколько она серьёзна) в течение 10 рабочих дней.
  • Исправление или информация о статусе в течение 90 дней. Серьёзные проблемы мы исправляем как можно быстрее, обычно намного раньше.
  • Согласованное раскрытие. Пожалуйста, подождите, пока проблема не будет исправлена или не пройдёт 90 дней, прежде чем публиковать подробности. Мы охотно согласуем с вами дату.

Мы небольшая команда. Мы будем держать вас в курсе и не оставим без внимания обоснованное сообщение.

3. Гарантии защиты (safe harbour)

Если вы добросовестно стараетесь соблюдать эту политику, мы считаем ваше исследование разрешённым. Мы не будем предпринимать против вас юридических действий, не будем сообщать о вас в правоохранительные органы и не заблокируем ваш аккаунт из-за него. Если третья сторона предпримет против вас юридические действия за исследование, проведённое в соответствии с этой политикой, мы дадим понять, что ваша работа была разрешена.

Добросовестность означает, что вы:

  • тестируете только со своими аккаунтами и своими загрузками либо с аккаунтами, которые вам разрешено использовать;
  • прекращаете работу, как только получаете доступ к чужим данным (загрузки, данные аккаунта, сообщения), не сохраняете и не передаёте их и сообщаете нам, к чему получили доступ;
  • не ухудшаете работу сервиса для других (никаких DoS-атак, автоматического сканирования большого объёма, спама);
  • не применяете социальную инженерию, фишинг или физические атаки против наших сотрудников, пользователей или поставщиков;
  • даёте нам разумное время на исправление проблемы до её раскрытия;
  • никогда и ни по какой причине не загружаете незаконный контент, включая материалы с сексуальным насилием над детьми.

Если вы не уверены, разрешено ли что-то, сначала спросите нас по адресу [email protected].

4. Что входит в область действия

  • yourimageshare.com и его поддомены (например, i.yourimageshare.com и status.yourimageshare.com);
  • публичный API загрузки, его документация, а также наши официальные SDK и MCP-сервер;
  • наши расширения для браузера, плагин для WordPress и бот для Telegram.

Примеры того, о чём мы хотим узнавать: захват аккаунта, обход аутентификации или авторизации, доступ к чужим закрытым или защищённым паролем загрузкам, межсайтовый скриптинг (XSS), затрагивающий других пользователей, подделка межсайтовых запросов (CSRF) в действиях, изменяющих данные, подделка запросов на стороне сервера (SSRF), инъекции, удалённое выполнение кода и проблемы в обработке загруженных файлов.

5. Что не входит в область действия

Следующее не считается уязвимостями, если вы не можете показать реальное влияние на пользователей:

  • отсутствующие или «рекомендуемые» HTTP-заголовки, флаги cookie или настройки TLS без работающей атаки;
  • отчёты о конфигурации SPF, DKIM или DMARC;
  • кликджекинг на страницах без важных действий;
  • self-XSS или атаки, требующие полного доступа к устройству или браузеру жертвы;
  • ограничения частоты запросов на публичных страницах и перебор имён пользователей или адресов электронной почты через публичные профили;
  • отчёты автоматических сканеров без подтверждённой и воспроизводимой проблемы;
  • DoS-атаки.

6. Незаконный или оскорбительный контент не является сообщением о безопасности

Чтобы пожаловаться на загрузку, которая незаконна, оскорбительна или нарушает наши Условия использования, нажмите кнопку «Пожаловаться» на странице файла или воспользуйтесь нашей формой жалобы. Такие обращения обрабатывает наша команда модерации, а не адрес службы безопасности.

7. Вознаграждение и благодарность

Платной программы bug bounty у нас нет. С вашего разрешения мы поблагодарим вас по имени (или нику) в разделе благодарностей ниже и в примечаниях к выпуску с исправлением.

8. Благодарности

Мы благодарим следующих людей за ответственное сообщение о проблемах безопасности:

  • Пока нет сообщений, за которые мы могли бы поблагодарить.