Сообщение a уязвимость.

Как сообщить

Напишите в security@evmsi.com достаточно подробно, чтобы воспроизвести проблему. Мы стремимся подтвердить отчеты в течение трех рабочих дней.

Безопасная гавань

Если вы приложите добросовестные усилия для соблюдения этой политики во время вашего исследования, мы будем считать ее разрешенной, мы будем работать с вами, чтобы быстро понять и решить проблему, и мы не будем рекомендовать или преследовать судебные иски.

Сфера охвата

• 01Сайт и его поддомены.
• 02Конечная точка контакта /api/contact.
• 03Любая проблема, позволяющая выполнение сценариев, инъекцию контента или обход Content Security Policy.

Вне сферы охвата

• 01Отказ в обслуживании, объемное тестирование или любая деятельность, ухудшающая доступность для других.
• 02Социальная инженерия наших сотрудников, партнеров или поставщиков.
• 03Физические нападения на наши офисы или персонал.
• 04Отчеты, генерируемые исключительно автоматическим сканером, без демонстрируемого воздействия.
• 05Пропавшие затвердевающие заголовки без демонстрируемого пути эксплойта.

Наша позиция

Этот веб-сайт использует проверки доступа на стороне сервера, ограниченный сбор данных и ограничительные политики браузера. Частные сеансы предварительного просмотра и счетчики злоупотреблений хранятся временно. Контроль безопасности снижает риски и требует постоянного анализа.

• 01Content Security Policy на основе nonce разрешает авторизованные сценарии приложений и ограничивает выполнение других сценариев.
• 02HTTP Strict Transport Security с годовым максимальным возрастом для этого хоста.
• 03Фрейминг отрицался сразу через обоих предков кадра и X-Frame-Options.
• 04Кросс-оригинальная изоляция: политика открытости, ресурсов и внедрения одного и того же происхождения.
• 05Permissions-Policy, который передает все возможности устройства, которые сайт не использует, в том числе для нашего собственного происхождения.
• 06Проверка на стороне сервера, пределы размера тела, проверка происхождения и общий бюджет представления на конечной точке контакта.
• 07Никакой сторонней аналитики, менеджера тегов, рекламного пикселя или регистратора сеансов — нигде.

Пожалуйста, не

Доступ, изменение или удаление данных, которые не являются вашими; ухудшение обслуживания для других людей; или публикация деталей нерешенной проблемы, прежде чем у нас будет разумная возможность исправить это.

Контакты

EV MULTI-SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com