Политика безопасности
Мы серьезно относимся к безопасности нашего сайта и ваших данных. Эта страница объясняет, как сообщать о проблемах безопасности и чего ожидать.
Что входит в область действия
Следующее покрывается этой политикой:
- Основной сайт (aelia.love) — контент, шаблоны и статические ресурсы
- Интеграция бронирования — встраивание Acuity Scheduling и поток данных
- Обработка пожертвований — ссылки оплаты Stripe и вебхуки
- Контактная форма — отправка и валидация сообщений
- Кнопки лайков — счетчики лайков мыслей, хранящиеся в Cloudflare KV
Вне области действия
Следующее не покрывается (но мы перешлем отчеты):
- Сторонние сервисы (Acuity, Stripe, Cloudflare) — регулируются их собственными политиками
- Инфраструктура Cloudflare — базовый хостинг, CDN и защита от DDoS
- Соцсети / внешние ссылки — контент на платформах, которыми мы не управляем
Как сообщить о проблеме безопасности
Если вы обнаружили уязвимость, пожалуйста, сообщите об этом ответственно:
Email (предпочтительно)
Отправьте детали на наш email безопасности. Включите шаги воспроизведения, влияние и доказательство концепции.
Сообщить по emailКонтактная форма
Используйте контактную форму, если email недоступен. Укажите в теме "Security Issue".
Использовать формуБезопасная гавань / Авторизованное тестирование
Мы поддерживаем ответственное исследование безопасности:
Мы не будем предпринимать юридических действий против вас за добросовестное исследование безопасности, следуя этой политике. Это включает доступ только к своим аккаунтам, не доступ к чужим данным и не нарушение сервисов. Мы просим дать нам разумное время на исправление перед публичным раскрытием.
Что происходит после отчета
Мы обязуемся соблюдать следующие сроки:
Подтверждение
В течение 3 рабочих дней — подтверждаем получение и назначаем ID отслеживания.
Триаж и валидация
В течение 10 рабочих дней — оцениваем серьезность и влияние.
Решение
Мы стремимся исправить критические проблемы в течение 30 дней. Менее серьезные могут занять больше времени.
Координированное раскрытие
Мы согласуем дату раскрытия с вами после развертывания исправления.
Сторонние сервисы
Мы используем надежных провайдеров для определенных функций. Их практики безопасности регулируются их собственными политиками:
Используемые сервисы
- Stripe
- Обработка платежей для пожертвований. Сертифицирован PCI DSS Level 1. См. Stripe Privacy.
- Cloudflare
- Хостинг, CDN, защита от DDoS и KV-хранилище для лайков. См. Cloudflare Privacy.
- Google Fonts
- Самостоятельно размещённые веб-шрифты. Внешние серверы шрифтов не используются.
Мы пересматриваем практики безопасности сторонних сервисов ежегодно и при добавлении новых.
Вопросы по этой политике?
Обращайтесь, если что-то неясно:
Напишите нам на {{ brand.email }} или используйте контактную форму.