Можно проверять
- Публичный сайт, личный кабинет и авторизационные сценарии GUJ
- Публичные API, edge-настройки защиты, DNS-интеграции и платежные callback-процессы
- Ошибки доступа, утечки данных, обходы WAF/antibot-логики и небезопасные конфигурации
Security
Responsible Disclosure для GUJ
Мы принимаем отчеты об уязвимостях, быстро подтверждаем получение и ведем разбор так, чтобы исследователь понимал статус, а пользователи оставались защищены
GUJ Security Intake
24 часа
- Контакт
- security@guj.ru
- Канал
- security.txt + форма
- Фокус
- Панель, API, edge-защита
- Статус
- Private triage
Что входит в программу
Нас интересуют реальные риски для аккаунтов, защищаемых доменов, API, админ-процессов и инфраструктурных настроек
Не принимаем
- DDoS, спам, социальную инженерию, физические атаки и попытки нарушить работу сервиса
- Автоматические отчеты сканеров без подтвержденного влияния на безопасность
- Проблемы в сторонних сервисах, если они не приводят к риску для GUJ или клиентов
Как мы обрабатываем отчеты
Процесс закрыт от публичного раскрытия до исправления и проверки результата
Получение
Фиксируем отчет, присваиваем номер и отправляем его администраторам в отдельный security inbox
Triage
Проверяем воспроизводимость, область влияния, критичность и необходимость срочных ограничений
Исправление
Готовим fix, проверяем отсутствие регрессий и при необходимости добавляем мониторинг события
Закрытие
Сообщаем статус исследователю и, если отчет подтвержден, добавляем его в зал славы по согласию
Safe harbor
Если вы действуете добросовестно, не извлекаете и не публикуете данные, не нарушаете доступность сервиса и сразу передаете нам детали, мы не будем рассматривать такую проверку как атаку
Отправить отчетЗал славы
Здесь будут исследователи, которые помогли GUJ стать безопаснее ответственным раскрытием.
First responsible disclosure
Место зарезервировано для первого подтвержденного отчета