Chính sách bảo mật

Chúng tôi coi trọng sự an toàn của YourImageShare và những người sử dụng dịch vụ. Nếu bạn phát hiện một lỗ hổng bảo mật, cảm ơn bạn đã báo cho chúng tôi. Trang này giải thích cách báo cáo, những gì bạn có thể trông đợi ở chúng tôi và các quy tắc để kiểm thử an toàn.

1. Cách báo cáo lỗ hổng bảo mật

Hãy gửi email tới [email protected], hoặc dùng biểu mẫu liên hệ và bắt đầu tiêu đề bằng "Security". Vui lòng không báo cáo lỗ hổng ở nơi công khai (GitHub issues, bình luận, mạng xã hội) trước khi lỗ hổng được khắc phục.

Vui lòng cung cấp:

• mô tả vấn đề và những gì kẻ tấn công có thể làm với lỗ hổng đó;
• các bước, URL và yêu cầu chính xác để tái hiện lỗi (có bản minh chứng khái niệm là tốt);
• phần bị ảnh hưởng: trang web, API endpoint, tiện ích mở rộng trình duyệt, plugin WordPress, SDK, bot;
• cách bạn muốn được ghi nhận, nếu bạn muốn.

Thông tin liên hệ dạng máy đọc được nằm tại /.well-known/security.txt.

2. Bạn có thể trông đợi gì ở chúng tôi

• Xác nhận đã nhận trong vòng 5 ngày làm việc.
• Đánh giá ban đầu (chúng tôi có tái hiện được không và mức độ nghiêm trọng) trong vòng 10 ngày làm việc.
• Bản sửa lỗi hoặc cập nhật tình trạng trong vòng 90 ngày. Các vấn đề nghiêm trọng được sửa nhanh nhất có thể, thường sớm hơn nhiều.
• Công bố phối hợp. Vui lòng chờ đến khi lỗi được sửa, hoặc đến khi đủ 90 ngày, rồi hãy công bố chi tiết. Chúng tôi sẵn lòng thống nhất một ngày cụ thể với bạn.

Chúng tôi là một đội ngũ nhỏ. Chúng tôi sẽ thông tin cho bạn và không bỏ qua bất kỳ báo cáo hợp lệ nào.

3. Miễn trừ trách nhiệm (safe harbour)

Nếu bạn nỗ lực thiện chí tuân theo chính sách này, chúng tôi coi hoạt động nghiên cứu của bạn là được phép. Chúng tôi sẽ không kiện bạn hay tố cáo bạn với cơ quan thực thi pháp luật vì việc đó, và sẽ không khóa tài khoản của bạn vì lý do đó. Nếu bên thứ ba khởi kiện bạn vì nghiên cứu đã tuân theo chính sách này, chúng tôi sẽ công khai xác nhận rằng công việc của bạn đã được cho phép.

Thiện chí nghĩa là bạn:

• chỉ kiểm thử bằng tài khoản và nội dung tải lên của chính bạn, hoặc tài khoản bạn được phép sử dụng;
• dừng lại ngay khi chạm tới dữ liệu của người khác (nội dung tải lên, thông tin tài khoản, tin nhắn), không lưu giữ hay chia sẻ dữ liệu đó, và cho chúng tôi biết bạn đã truy cập những gì;
• không làm ảnh hưởng đến dịch vụ của người khác (không tấn công từ chối dịch vụ, không quét tự động khối lượng lớn, không spam);
• không dùng kỹ thuật xã hội, lừa đảo phishing hoặc tấn công vật lý nhằm vào nhân viên, người dùng hay nhà cung cấp của chúng tôi;
• cho chúng tôi thời gian hợp lý để sửa lỗi trước khi công bố;
• tuyệt đối không tải lên nội dung bất hợp pháp, bao gồm nội dung lạm dụng tình dục trẻ em, vì bất kỳ lý do nào.

Nếu bạn không chắc điều gì đó có được phép hay không, hãy hỏi chúng tôi trước tại [email protected].

4. Thuộc phạm vi

• yourimageshare.com và các tên miền phụ (ví dụ i.yourimageshare.com và status.yourimageshare.com);
• API tải lên công khai, tài liệu của API, cùng các SDK và máy chủ MCP chính thức của chúng tôi;
• tiện ích mở rộng trình duyệt, plugin WordPress và bot Telegram của chúng tôi.

Ví dụ những vấn đề chúng tôi muốn biết: chiếm đoạt tài khoản, vượt qua xác thực hoặc phân quyền, truy cập nội dung tải lên riêng tư hoặc có mật khẩu của người khác, cross-site scripting ảnh hưởng đến người dùng khác, cross-site request forgery với các thao tác làm thay đổi dữ liệu, server-side request forgery, injection, thực thi mã từ xa, và các vấn đề trong cách xử lý tệp được tải lên.

5. Ngoài phạm vi

Những mục sau không được coi là lỗ hổng trừ khi bạn chứng minh được tác động thực tế đến người dùng:

• thiếu HTTP header, cờ cookie hoặc cấu hình TLS theo "thực hành tốt nhất" mà không có cách tấn công khả thi;
• báo cáo về cấu hình SPF, DKIM hoặc DMARC;
• clickjacking trên các trang không có thao tác nhạy cảm;
• self-XSS, hoặc các cuộc tấn công cần toàn quyền truy cập vào thiết bị hay trình duyệt của nạn nhân;
• giới hạn tốc độ trên các trang công khai, và dò tìm tên người dùng hoặc email qua hồ sơ công khai;
• báo cáo từ công cụ quét tự động mà không có vấn đề được xác nhận và tái hiện được;
• tấn công từ chối dịch vụ.

6. Nội dung bất hợp pháp hoặc lạm dụng không phải là báo cáo bảo mật

Để báo cáo nội dung tải lên bất hợp pháp, lạm dụng hoặc vi phạm Điều khoản và Điều kiện của chúng tôi, hãy dùng nút Báo cáo trên mục đó hoặc biểu mẫu báo cáo. Các báo cáo này do đội ngũ kiểm duyệt xử lý, không qua địa chỉ email bảo mật.

7. Phần thưởng và ghi nhận

Chúng tôi không có chương trình bug bounty trả thưởng. Nếu bạn đồng ý, chúng tôi sẽ cảm ơn bạn bằng tên (hoặc biệt danh) trong phần ghi nhận bên dưới và trong ghi chú phát hành của bản sửa lỗi.

8. Ghi nhận đóng góp

Chúng tôi cảm ơn những người sau đã báo cáo các vấn đề bảo mật một cách có trách nhiệm:

• Chưa có báo cáo nào được ghi nhận.