负责任披露

最后更新:2026 年 10 月 20 日

1. 简介

人们把自己的信息、笔迹,以及收信人的姓名和地址托付给我们。如果你认为自己在 Snailgram 中发现了安全漏洞,我们希望听到你的声音。本政策说明如何报告漏洞、查找时请你遵守的规则,以及我们将如何回应。

本政策由 AWS, CYY & Co. Pty Ltd(ACN 686 116 245)作为 Mumu, Lulu & Co.(ABN 54 837 123 965)的受托人发布,后者运营 Snailgram。

我们没有设立有偿漏洞赏金计划,也不为报告支付奖励。经你许可,问题修复后,我们会在本页面上署名感谢你。

2. 范围

本政策涵盖:

• 我们位于 snailgram.com.au 的网站,包括卡片制作页和结账页,
• 其背后用于生成封面、存储设计和笔迹样本以及接收订单的服务,以及
• 我们发送的订单相关邮件。

本政策不涵盖我们所使用的、由他人运营的服务,例如 Square、Australia Post、Amazon Web Services、Fastmail 或 Google。这些服务的问题,请向相关提供商报告。

3. 如何报告

请发邮件至 support@snailgram.com.au,主题写上“Security”。请附上:

• 问题描述,以及你认为它造成的影响,
• 受影响的页面、端点或功能,
• 复现问题的详细步骤,以及任何概念验证代码、截图或请求,以及
• 我们如何联系你,以及你是否希望被署名感谢。

如果你发现了泄露的密钥、密码或其他机密,请立即告诉我们,并且不要使用它。可以的话,请用英文撰写。

4. 我们对你的要求

查找和报告漏洞时,你必须:

• 仅使用属于你自己、或已获得所有者许可使用的订单、设计和笔迹样本进行测试,
• 一旦接触到不属于你的个人信息、留言、地址或笔迹,立即停止,并告诉我们你访问了什么。不要复制、保留、更改或删除这些内容,也不要与任何人分享,
• 不得降低网站性能或中断网站运行,包括通过拒绝服务攻击、负载测试或大批量自动扫描,
• 不得未经他人同意就向其订购卡片,也不得联系我们的客户、他们的收信人或我们的团队,
• 不得对我们的团队、场所或服务提供商使用社会工程、网络钓鱼或物理攻击,
• 不得使用他人的付款卡或付款信息,
• 只做证明漏洞存在所必需的事,
• 在我们修复问题之前,或在你提交报告后 90 天内(以较早者为准),对细节保密,除非我们与你另有约定,以及
• 遵守法律。

5. 我们会做什么

当你依照本政策报告漏洞时,我们将:

• 在 2 个工作日内确认收到你的报告,
• 告诉你我们能否复现该问题,并向你通报进展,
• 力争在 90 天内修复已确认的漏洞;若漏洞使个人信息面临风险,则更快修复,以及
• 在问题修复后通知你,并在你提出要求时署名感谢你。

如果问题涉及个人信息,我们将进行评估,并按我们隐私政策第 11 节的说明,通知受影响的人士和澳大利亚信息专员办公室(Office of the Australian Information Commissioner)。

6. 安全港

如果你出于善意并遵守本政策,我们会将你的研究视为获得授权,不会就此对你采取法律行动,也不会向执法部门举报你。如果他人因遵循本政策的研究而对你采取法律行动,我们会公开表明该研究已获我们授权。

如果你违反了本政策、访问了超出所需范围的内容,或者以不披露问题为条件索要报酬,则不适用上述保护。如果你不确定自己打算做的事是否被允许,请先发邮件询问:support@snailgram.com.au。

7. 我们不视为漏洞的情况

以下情况通常不在本政策范围内,除非你能证明它们对网站或其用户的安全造成了实际影响:

• 自动扫描器生成、但没有可用概念验证的报告,
• 单独存在的安全标头缺失、Cookie 标志缺失或邮件认证记录(SPF、DKIM、DMARC)缺失,
• 在没有可能造成危害的操作的页面上发生的点击劫持,
• Self-XSS,或需要实际接触他人未锁定设备的问题,
• 让封面生成器生成出人意料或不合适的图像,除非这会暴露他人数据或绕过付款,
• 软件版本信息泄露,或对没有安全后果的操作缺少频率限制,以及
• 拒绝服务,以及第 2 节所列第三方服务中的漏洞。

8. 本政策的变更

我们可能会通过在本页面发布新版本并更新顶部日期来修改本政策。你提交报告时已发布的版本适用于该报告。