---
title: "Политика раскрытия уязвимостей"
description: "Как ответственно сообщать о проблемах безопасности."
lang: ru
url: https://clavitor.ai/ru/security/disclosure
markdown: https://clavitor.ai/ru/security/disclosure.md
translation_of: https://clavitor.ai/en/security/disclosure.md
authoritative: false
publisher: Clavitor LLC
---

> This is the Russian translation of [Vulnerability Disclosure Policy](https://clavitor.ai/en/security/disclosure.md). The original English text is authoritative; where the two differ, the English version prevails.

# Юридическая информация: Политика раскрытия уязвимостей

Мы серьезно относимся к безопасности Вашего хранилища. Если Вы обнаружили уязвимость, мы хотим услышать о ней.

## Safe harbor

Мы не будем предпринимать юридических действий против исследователей безопасности, которые действуют добросовестно в рамках данной политики. Добросовестность означает: Вы прилагаете искренние усилия для предотвращения нарушений конфиденциальности, уничтожения данных и сбоев в работе сервиса.

Если Вы будете следовать этим рекомендациям, мы будем считать Ваше исследование авторизованным. Мы будем работать с Вами, чтобы быстро понять и устранить проблему.

## Scope

В рамках политики рассматриваются:

- **clavitor.ai** — производственный веб-сайт
- ***.clavitor.ai** — все конечные точки хранилища в точках присутствия (POP)
- ***/api/*** — REST API хранилища
- ***/app/*** — веб-интерфейс хранилища
- **clavitor-cli** — агент CLI
- **clavitor-proxy** — HTTPS прокси для учётных данных
- **Расширения для браузеров** — Chrome, Firefox, Safari

Следующее находится вне рамок политики:

- Социальная инженерия сотрудников или пользователей
- Атаки типа "отказ в обслуживании"
- Физические атаки на инфраструктуру
- Сторонние сервисы (Paddle, Cloudflare)
- Автоматизированное сканирование, снижающее доступность сервиса

## Rules of engagement

- Не получайте доступ, не изменяйте и не удаляйте данные из хранилища другого пользователя.
- Не снижайте доступность сервиса.
- Немедленно остановитесь и сообщите, если Вы обнаружите реальные пользовательские данные.
- Предоставьте нам разумное время для устранения проблем до любого публичного раскрытия.
- Используйте минимально необходимый доступ для демонстрации уязвимости.

## How to report

Напишите по адресу [security@clavitor.ai](mailto:security@clavitor.ai). Для конфиденциальных сообщений зашифруйте Ваше письмо с помощью нашего [PGP-ключа](https://clavitor.ai/.well-known/pgp-key.txt).

Включите:

- Описание уязвимости и ее потенциального воздействия
- Шаги для воспроизведения
- Любой код доказательства концепции или скриншоты

## What we commit to

- Подтверждение получения Вашего сообщения в течение 48 часов.
- Предоставление содержательной оценки в течение 7 дней.
- Будем держать Вас в курсе нашей работы над исправлением.
- Публично упомянем Вас на нашей [странице благодарностей](https://clavitor.ai/ru/security/thanks) — если Вы не предпочитаете остаться анонимным.

Мы не проводим платную программу вознаграждений. Мы предлагаем нашу благодарность, публичное признание и знание того, что Вы помогли защитить личные данные реальных пользователей.