漏洞披露政策

1. 適用範圍

本政策適用於連結至本頁面、由序衡科技有限公司營運的公開網站、託管應用和 API，包括 Sytance 服務。

客戶環境、客戶管理的系統、第三方服務、整合、並非由我們維護的開源項目，以及不歸我們所有或控制的基礎設施不在範圍內。Sytance 使用的第三方元件，僅在報告涉及其對 Sytance 營運服務的影響時屬於本政策範圍。

如果無法確定所有權或範圍，請聯絡 security@sytance.com，並在繼續前等待確認。

2. 獲授權的善意研究

只有在善意開展、不超出適用範圍、遵守以下規則，並且僅限於為確認和報告疑似漏洞而合理必要的活動時，安全研究才會獲得本政策授權。

• 僅使用您擁有或獲准使用的帳戶和資料。
• 僅執行確認問題所需的最少測試，並將請求量保持在不會影響服務或其他使用者的水平。
• 如果接觸到他人的資料、憑據或保密資料，請立即停止。
• 不得保留、更改、刪除、披露或大量下載資料。
• 不得建立持久化存取、部署惡意軟件，或將漏洞用於驗證和報告以外的目的。
• 及時報告問題、對細節保密，並給予我們合理的調查和處理機會。

3. 禁止的測試

• 拒絕服務、負載、壓力或資源耗盡測試。
• 社交工程、網絡釣魚、撞庫或密碼噴灑。
• 物理攻擊或測試第三方設施與基礎設施。
• 破壞性活動、資料損壞、大量建立帳戶或大規模自動掃描。
• 違反法律或他人權利的測試。
• 威脅、勒索或索取付款。

4. 報告應包含的內容

簡潔且可重現的報告有助於我們安全地評估問題並更快作出回應。如有，請提供以下內容：

• 受影響的網域名稱、URL、API 路由、功能或元件。
• 漏洞及其潛在影響的清晰說明。
• 使用測試帳戶和脫敏資料的重現步驟。
• 最簡概念驗證（PoC）、請求與回應、截圖或日誌摘錄。
• 任何前置條件和已經採取的安全措施。
• 您希望使用的聯絡方式。

5. 回應目標

對於資訊足夠完整的報告，我們力爭在三個工作日內確認收到，並在十個工作日內提供初步研判結果。經驗證的問題仍在調查期間，如果報告者提供了有效聯絡方式，我們力爭至少每十個工作日告知一次實質進展。

工作日是指星期一至星期五，不包括香港公眾假期。這些是溝通目標，並非保證的修復期限。報告不完整、提交量較高、技術異常複雜或需要依賴第三方時，所需時間可能延長；在可行情況下，我們會說明更新後的預計時間。

6. 我們如何處理報告

• 接收與追蹤——記錄報告、確認受影響資產是否在範圍內，並與報告者建立聯絡渠道。
• 初步研判與重現——評估所提供的資訊、嘗試重現相關行為、排除重複報告，並在需要時請求澄清。
• 風險評估與優先次序——問題經驗證後，根據嚴重程度、可利用性、受影響的資料與使用者、暴露程度、補償性控制措施和漏洞遭主動利用的證據確定處理次序。
• 修復與驗證——責任團隊制定緩解或修復方案、對其進行測試、管理相關發佈或第三方依賴，並驗證處理結果。
• 結案與披露——向報告者說明可以披露的處理結果，協調任何公開披露，並考慮是否需要發佈安全公告或致謝。

7. 安全港

如果您善意努力遵守本政策，我們將在依法有權授權的範圍內將相關研究視為已經授權，也不會僅因本政策範圍內善意研究所導致的意外行為而發起法律行動。

如果第三方就符合本政策的活動發起法律行動，我們可以確認該活動是在我們的漏洞披露流程下開展。我們無法代表其他組織授權活動，也無法承諾第三方或公共機關將如何回應。

安全港條款不授權違法、魯莽、惡意或勒索行為，不影響他人的權利，也不保護在我們要求停止後仍繼續實施的行為。

8. 協調披露與致謝

在我們調查期間，請對疑似漏洞、概念驗證、受影響客戶資料和修復細節保密。通常，我們會以在確認收到資訊足夠完整的報告後 90 個自然日內完成協調披露為目標。發佈前請聯絡我們，以便雙方就技術範圍及能讓使用者及時採取保護措施的發佈日期達成一致。

適當的披露日期可能因嚴重程度、漏洞是否正遭主動利用、客戶風險、發佈準備情況和受影響的第三方而提前或推遲。我們不會僅為避免受到審查而要求延期；如果確實需要更多時間，我們會在不增加風險的前提下說明原因。

披露有助於使用者保護自身時，我們可能發佈安全公告。在公開報告者姓名前，我們會與其討論署名方式。

本政策不是漏洞賞金計劃，不產生獲得付款、獎勵、雇傭或其他補償的權利。