負責任披露

最後更新：2026 年 10 月 20 日

1. 簡介

人們把自己的資訊、筆跡，以及收信人的姓名和地址託付給我們。如果你認為自己在 Snailgram 中發現了安全漏洞，我們希望聽到你的聲音。本政策說明如何報告漏洞、查詢時請你遵守的規則，以及我們將如何回應。

本政策由 AWS, CYY & Co. Pty Ltd（ACN 686 116 245）作為 Mumu, Lulu & Co.（ABN 54 837 123 965）的受託人發布，後者營運 Snailgram。

我們沒有設立有償漏洞賞金計劃，也不為報告支付獎勵。經你許可，問題修復後，我們會在本頁面上署名感謝你。

2. 範圍

本政策涵蓋：

• 我們位於 snailgram.com.au 的網站，包括卡片製作頁和結帳頁，
• 其背後用於生成封面、儲存設計和筆跡樣本以及接收訂單的服務，以及
• 我們傳送的訂單相關郵件。

本政策不涵蓋我們所使用的、由他人營運的服務，例如 Square、Australia Post、Amazon Web Services、Fastmail 或 Google。這些服務的問題，請向相關供應商報告。

3. 如何報告

請寄電子郵件至 support@snailgram.com.au，主題寫上「Security」。請附上：

• 問題描述，以及你認為它造成的影響，
• 受影響的頁面、端點或功能，
• 復現問題的詳細步驟，以及任何概念驗證程式碼、截圖或請求，以及
• 我們如何聯絡你，以及你是否希望被署名感謝。

如果你發現了洩露的金鑰、密碼或其他機密，請立即告訴我們，並且不要使用它。可以的話，請用英文撰寫。

4. 我們對你的要求

查詢和報告漏洞時，你必須：

• 僅使用屬於你自己、或已獲得所有者許可使用的訂單、設計和筆跡樣本進行測試，
• 一旦接觸到不屬於你的個人資訊、留言、地址或筆跡，立即停止，並告訴我們你訪問了什麼。不要複製、保留、更改或刪除這些內容，也不要與任何人分享，
• 不得降低網站效能或中斷網站執行，包括透過拒絕服務攻擊、負載測試或大批次自動掃描，
• 不得未經他人同意就向其訂購卡片，也不得聯絡我們的客戶、他們的收信人或我們的團隊，
• 不得對我們的團隊、場所或服務供應商使用社會工程、網路釣魚或物理攻擊，
• 不得使用他人的付款卡或付款資訊，
• 只做證明漏洞存在所必需的事，
• 在我們修復問題之前，或在你提交報告後 90 天內（以較早者為準），對細節保密，除非我們與你另有約定，以及
• 遵守法律。

5. 我們會做什麼

當你依照本政策報告漏洞時，我們將：

• 在 2 個工作日內確認收到你的報告，
• 告訴你我們能否復現該問題，並向你通報進展，
• 力爭在 90 天內修復已確認的漏洞；若漏洞使個人資訊面臨風險，則更快修復，以及
• 在問題修復後通知你，並在你提出要求時署名感謝你。

如果問題涉及個人資訊，我們將進行評估，並按我們隱私政策第 11 節的說明，通知受影響的人士和澳洲資訊專員辦公室（Office of the Australian Information Commissioner）。

6. 安全港

如果你出於善意並遵守本政策，我們會將你的研究視為獲得授權，不會就此對你採取法律行動，也不會向執法部門舉報你。如果他人因遵循本政策的研究而對你採取法律行動，我們會公開表明該研究已獲我們授權。

如果你違反了本政策、訪問了超出所需範圍的內容，或者以不披露問題為條件索要報酬，則不適用上述保護。如果你不確定自己打算做的事是否被允許，請先寄電子郵件詢問：support@snailgram.com.au。

7. 我們不視為漏洞的情況

以下情況通常不在本政策範圍內，除非你能證明它們對網站或其使用者的安全造成了實際影響：

• 自動掃描器生成、但沒有可用概念驗證的報告，
• 單獨存在的安全標頭缺失、Cookie 標誌缺失或郵件認證記錄（SPF、DKIM、DMARC）缺失，
• 在沒有可能造成危害的操作的頁面上發生的點選劫持，
• Self-XSS，或需要實際接觸他人未鎖定裝置的問題，
• 讓封面生成器生成出人意料或不合適的影象，除非這會暴露他人資料或繞過付款，
• 軟體版本資訊洩露，或對沒有安全後果的操作缺少頻率限制，以及
• 拒絕服務，以及第 2 節所列第三方服務中的漏洞。

8. 本政策的變更

我們可能會透過在本頁面發布新版本並更新頂部日期來修改本政策。你提交報告時已發布的版本適用於該報告。