Програма Bug Bounty

Безпека акаунтів і даних гравців для нас важливіша за швидкість випуску. Але власними силами всього не побачиш: частину дірок знаходять ззовні — ті, хто дивиться на сервіс не так, як ми. Ця програма для них.

Сенс простий: отримати вразливість від дослідника раніше, ніж нею скористаються на шкоду гравцям. Ми платимо за знахідку й не переслідуємо того, хто її приніс.

Куди писати

Прочитайте сторінку цілком до надсилання звіту: тут межі програми, вимоги до звіту й перелік того, за що винагороди немає. Це заощадить час і вам, і нам.

Звіти та питання щодо програми — на [email protected]. Якщо знахідка підтвердиться й підійде під умови, ми візьмемо її в роботу й повідомлятимемо, що відбувається.

Умови участі

• Усі повідомлення щодо програми — лише на [email protected]. Звіт, надісланий у спільний чат Discord чи в ігровий тікет, до нас теж потрапить, але вже після того, як його прочитають сторонні.
• Інформацію про вразливість ви передаєте нам і не публікуєте, доки в нас не буде розумного часу на виправлення. Розумний — це стільки, скільки потрібно на полагодження: строк ми називаємо у відповіді й повідомляємо, коли полагодили.
• Кількість звітів від однієї людини не обмежена.

Правила безпечного тестування

• Перевіряйте тільки на своїх облікових записах.
• Не заходьте в чужі акаунти й не користуйтеся ними без явної згоди власника.
• Не робіть нічого, що може розкрити, змінити чи знищити чужі дані.
• Не кладіть сервіси й не заважайте їхній роботі. Відмова в обслуговуванні — це не дослідження, а поломка.
• Зупиняйтеся, щойно вразливість підтверджено: доказ у вас уже є, далі йти не треба.

Повторні звіти

• Винагороду отримує перше достовірне повідомлення про вразливість.
• Якщо звітів кілька, першість визначає час отримання листа.
• Повторні звіти ми читаємо, але нагороди за них не платимо.
• Звіт, який додає до відомої проблеми нове — інший спосіб експлуатації або важчі наслідки, — може бути винагороджений частково, на наш розсуд.
• Якщо ваш звіт виявився повтором, ми прямо про це скажемо.

Що включити у звіт

Що точніший звіт, то швидше ми його перевіримо й полагодимо. Нижче — те, без чого перевірка буксує.

• Як з вами звʼязатися — імʼя або нік і адреса пошти.
• Тип вразливості й що зачеплено — наприклад, XSS, SQL-інʼєкція, обхід авторизації, доступ до чужого обʼєкта за ідентифікатором; і в якому саме місці.
• Технічний опис — що не так і, якщо розібралися, чому. Пишіть як для інженера: точність важливіша за гладкість.
• Де саме — адреса сторінки, маршрут API, порт, шлях до файлу.
• Кроки відтворення — по пунктах, по порядку. Це найважливіша частина звіту.
• Доказ — скриншот, відео або короткий код, з якого видно, що вразливість працює.
• Наслідки — що зможе зробити зловмисник, якщо нею скористається.
• Як лагодити — якщо є думки, будемо раді. Не обовʼязково.

Якщо ви натрапили на чужі дані

Зупиніться одразу. Не переглядайте, не зберігайте, не копіюйте й нікому не передавайте. Видаліть те, що встигло осісти у вас локально, і напишіть про це у звіті: що саме побачили і що видалили. Обсяг переглянутого впливає на оцінку добросовісності — і на вашу користь, якщо ви зупинилися на першій же ознаці.

Що входить у програму

• Сайт achilora.com і все, що він віддає.
• Лаунчер Achilora і механізм оновлення збірок.
• Вхід — авторизація на сайті, у лаунчері та в грі: акаунт один на все.
• Ігрові сервери — у тій частині, що стосується безпеки: доступ до чужого акаунта, до консолі, до файлів.
• Відкриті API — акаунти, магазин, поповнення балансу, ігрові сервіси.
• Інтеграції — на нашому боці: приймання оплати та надсилання пошти.

Що не підлягає винагороді

Нижче — те, що або поза межами програми, або не вважається підставою для виплати.

• DoS і DDoS, перебір паролів, спам, соціальна інженерія проти команди чи гравців.
• Звіти без показаної шкоди: відсутні «рекомендовані» заголовки, налаштування SPF, DKIM і DMARC, перелічення акаунтів і адрес, відсутність обмежувача частоти запитів.
• Клікджекінг на сторінках без важливих дій і підробка запиту на діях, які нічого не змінюють, — наприклад, на виході з акаунта.
• Вразливості в чужих бібліотеках без робочого доказу на нашому сервісі.
• Самоексплуатація — те, чим може скористатися лише сама жертва.
• Ігрові баги, дюпи й чити без наслідків для безпеки. Вони не пропадають марно: за них платять на сторінці підтримки, просто це інша розмова.
• Питання ігрового балансу та помилки в чужих модах.
• Усе, що потребує фізичного доступу до пристрою або до акаунта, відданого добровільно.
• Знахідки в чужих сервісах — Tebex, Discord, Cloudflare та інших. Повідомляйте їм: у них свої програми.

Рівні та нагорода

Що важчі наслідки, то більша виплата. Стеля — 10 000 за критичну вразливість; точну суму називаємо у відповіді на звіт, до полагодження.

• Критичний — виконання вашого коду на наших серверах, доступ до бази, масовий витік даних гравців.
• Високий — захоплення чужого акаунта, обхід оплати, впровадження скрипта на сторінках входу та оплати.
• Середній — обмежений доступ до чужих даних, підробка запиту на некритичній дії.
• Низький — те, що не дає серйозної переваги й не розкриває чужого.

Захист дослідника

Дослідження вважається добросовісним, якщо воно законне, спрямоване на підвищення безпеки, а не на шкоду, і йде за правилами цієї сторінки.

За такого дослідження ми не будемо подавати на вас до суду, звертатися зі скаргою в поліцію, вимагати відшкодування чи блокувати акаунт за самі дії з перевірки. Наші правила користування в цій частині не застосовуються — рівно настільки, наскільки вони заважають дослідженню за цією політикою.

Це не індульгенція: дотримуватися закону ви зобовʼязані в будь-якому разі, а рішення про те, чи було дослідження добросовісним, лишається за нами. Сумніваєтеся, чи підпадає ваш спосіб під цю політику, — спитайте на [email protected] до того, як пробувати.

Застереження щодо виплат

• Нагорода видається внутрішньою валютою проєкту — донатними монетами на ваш акаунт. Грошима ми не платимо.
• Умови програми ми можемо змінювати, але заднім числом зміни не діють: надісланий звіт розглядається за правилами, які були на момент надсилання.
• Команда проєкту та їхні близькі в програмі не беруть участі.