Безопасность и сообщение об уязвимости

1. Как сообщить

Отправьте описание на fulani.dev@gmail.com: затронутый URL или API, воспроизводимые шаги, возможное влияние и безопасное доказательство. Не присылайте пароли, одноразовые коды, полный дамп базы или персональные данные других людей. Мы подтвердим получение и начнём triage критичного сообщения в течение 24 часов.

2. Безопасное исследование

Не нарушайте доступность сервиса, не применяйте социальную инженерию, не закрепляйтесь в системе, не меняйте чужие данные и не извлекайте больше информации, чем строго нужно для доказательства. Остановитесь при обнаружении персональных данных и сразу сообщите нам. Нагрузочные тесты разрешены только по предварительному письменному согласованию.

3. Что уже применяется

Production-трафик должен идти по TLS. Сессии используют короткоживущий access token и защищённый HttpOnly refresh cookie; для чувствительных операций требуется свежее email-подтверждение. Применяются ограничение частоты, разграничение доступа, security headers, минимизация журналов, ротационные backup и управляемое хранение секретов.

4. Инциденты

Мы локализуем инцидент, сохраняем необходимые доказательства, оцениваем затронутые данные и уведомляем пользователей, регуляторов и затронутых поставщиков в сроки применимого закона. Инцидент, связанный с Quran.Foundation API или данными, будет сообщён Quran.Foundation без неоправданной задержки и с целевым первичным уведомлением в пределах 24 часов.

• Контакты