Рано или поздно кто-то за пределами компании найдёт уязвимость в вашем продукте. Что будет дальше, зависит от того, найдёт ли он адрес, куда написать, и ответит ли ему кто-нибудь. Если канала нет, сообщение попадает в общую поддержку, в социальные сети или никуда.
Программа раскрытия — это минимум: опубликованная политика, где сказано, как сообщить об уязвимости и чего ожидать, почтовый ящик, который читают, и процесс, который доводит сообщение от получения до исправления. Она не предполагает вознаграждений и не требует площадки. Европейский Cyber Resilience Act делает политику согласованного раскрытия обязательной для производителей продуктов с цифровыми элементами: уведомление об активно эксплуатируемых уязвимостях применяется с 11 сентября 2026 года, полный набор обязанностей — с 11 декабря 2027 года.
01Объём
Что мы проверяем
Политика раскрытия: объём, правила, safe harbour, сроки раскрытия
security.txt по RFC 9116 с контролем срока действия
Канал приёма: выделенный ящик или форма, ключ шифрования, подтверждение получения
Внутренняя обработка по ISO/IEC 30111: ответственные, сроки, эскалация
Общение с авторами сообщений и согласованная публикация
Бюллетени и идентификаторы CVE для уязвимостей в ваших продуктах
Обязанности по уведомлению согласно Cyber Resilience Act и NIS2, если они применимы
02Подход
Как выполняется работа
01
Политика
Готовим политику вместе с вашими юристами. Формулировка safe harbour следует тексту, признанному сообществом исследователей; к вашей юрисдикции её адаптируют ваши юристы.
02
Канал
Канал приёма и security.txt настраиваются и проверяются снаружи — так, как их искал бы исследователь.
03
Процесс
Роли, сроки и эскалация описываются и отрабатываются на тестовом сообщении до публикации политики.
04
Ведение
По вашему желанию приём ведём мы: подтверждаем получение, воспроизводим, оцениваем и передаём подтверждённые сообщения инженерам.
Нам прислали сообщение об уязвимости и просят деньги. Что делать?
Не платите под давлением и не угрожайте. Подтвердите получение, запросите технические детали и проверьте утверждение. Большинство незапрошенных сообщений приходит от добросовестных исследователей, часть — автоматический шум, некоторые — вымогательство. Мы проверим сообщение, оценим критичность и поможем ответить: оставьте заявку через форму на этом сайте и укажите, что сообщение ждёт ответа.
Чем программа раскрытия отличается от bug bounty?
Программа раскрытия принимает сообщения и обещает честное отношение. Bug bounty добавляет оплату и тем самым приглашает к активному поиску. Первое — базовый уровень для любой компании с продуктом в сети, второе — решение о бюджете и готовности.
Создаёт ли для нас риск условие safe harbour?
Оно обязывает вас не преследовать тех, кто соблюдает ваши правила. Оно не разрешает ничего за пределами этих правил и не связывает третьих лиц и правоохранительные органы. Перед публикацией текст проверяют ваши юристы.