Программа поиска уязвимостей

Команда еСимка принимает отчёты об уязвимостях, которые могут повлиять на безопасность пользователей, данных, платежей или инфраструктуры сервиса.

Участвовать могут независимые исследователи, команды исследователей и представители организаций, если они соблюдают закон и правила этой программы.

Вознаграждение получает первый исследователь, который сообщил о неизвестной ранее валидной уязвимости и прислал данные для её воспроизведения.

Вы можете проверять только эти активы еСимка:

Если домена, приложения или сервиса нет в списке, не проверяйте его без письменного разрешения команды еСимка.

Мы не принимаем в рамках программы такие проверки и отчёты:

Проверяйте только свои аккаунты, заказы, устройства и eSIM-профили. Не пытайтесь получить доступ к данным других пользователей.

Если вы случайно увидели чужие данные, прекратите проверку, не сохраняйте данные и напишите нам.

Не меняйте, не удаляйте и не повреждайте данные, настройки, заказы, балансы, eSIM-профили или инфраструктуру сервиса.

Не выполняйте действия, которые могут ухудшить работу сайта, платежей, поддержки, Telegram-бота или мобильных приложений.

При автоматизированных проверках не превышайте 10 запросов в секунду и прекращайте тест, если сервис отвечает ошибками или замедляется.

Используйте минимальный проверочный пример. Для RCE, SQLi, SSRF, LFI/SSTI и похожих уязвимостей подтвердите проблему безопасным способом, без извлечения секретов и вреда для системы.

Публикуйте детали уязвимости только после исправления и согласования с командой еСимка. Базовый срок согласованного раскрытия составляет 90 дней.

Команда еСимка оценивает отчёт по CVSS, возможному ущербу, сложности атаки и влиянию на пользователей, данные, платежи и инфраструктуру. Итоговый уровень критичности может быть повышен или понижен после проверки.

Точная сумма зависит от конкретного случая, вклада исследователя, качества отчёта и полноты проверочного примера.

Менее серьёзные проблемы без существенного влияния на безопасность могут быть вознаграждены по усмотрению команды.

За дубликат отчёта выплата не производится. Приоритет получает первый полноценный отчёт с данными, по которым команда может воспроизвести проблему.

Включите в отчёт данные, по которым команда сможет проверить уязвимость:

Не добавляйте в отчёт чужие персональные данные, секреты, токены, приватные ключи или полные выгрузки данных. Если такие данные попали в проверочный пример случайно, сократите их и отдельно отметьте это в отчёте.

Мы подтверждаем получение отчёта в течение 3 рабочих дней.

Мы рассматриваем отчёт и сообщаем результат проверки в течение 14 рабочих дней. В сложных случаях команда может запросить дополнительные сведения.

После подтверждения уязвимости мы сообщаем исследователю статус исправления и ориентировочные сроки. Команда выплачивает вознаграждение после исправления или снижения риска, если стороны не договорились иначе.

Мы можем отклонить отчёт, если команда не воспроизвела проблему, не увидела практического вреда, уже получила такой отчёт раньше или проверка вышла за рамки программы.

Если исправление требует больше 90 дней, команда согласует с исследователем новый срок раскрытия.

Если исследователь соблюдает правила программы, действует в пределах разрешённых активов, не извлекает чужие данные и не ухудшает работу сервиса, еСимка не инициирует заявление или иск из-за такой проверки.

Эта оговорка не защищает действия, которые нарушают правила программы, закон, права третьих лиц, конфиденциальность пользователей или доступность сервиса.

Исследователь не должен требовать выплату угрозами, разглашать сведения об уязвимости до согласованного срока или использовать найденную проблему за пределами проверки.

Отчёты об уязвимостях отправляйте на security@esimka.ru с темой письма «Поиск уязвимостей». Этот адрес используется для доменов esimka.ru и esimka.io.

Машиночитаемый контакт безопасности опубликован по адресу /.well-known/security.txt.

Для обычных вопросов поддержки, заказов и возвратов используйте sup@esimka.ru или Telegram-бот @esimka. Не отправляйте отчёты об уязвимостях в общий канал поддержки.