漏洞赏金与漏洞披露政策

报告安全问题

请发送电子邮件至 support@xquik.com，并以 "Security report" 作为邮件主题。请附上受影响的 URL、影响、复现步骤和佐证材料。发送报告前，请删除其中的密钥等机密信息和无关的个人数据。

可测试的范围

• xquik.com
• dashboard.xquik.com
• docs.xquik.com
• 公开的 Xquik API、Webhook、OAuth、SDK 和 MCP 服务器

范围之外

• 第三方服务，包括 X (Twitter)
• 由客户管理的端点，例如客户的 Webhook 服务器
• 其他客户的账号和数据

如何安全地测试

• 只使用您自己的账号进行测试，包括 Xquik 和 X (Twitter) 账号。
• 保持较低的自动化流量，并遵守我们公布的速率限制。
• 不得进行拒绝服务、负载或压力测试。
• 不得发送垃圾信息，也不得操作他人的 X (Twitter) 账号。
• 不得访问其他客户的数据。如果接触到，请停止并告知我们。
• 不得使用社会工程或网络钓鱼。
• 避免侵犯隐私、造成数据丢失或导致服务降级。
• 请及时报告问题，并在审核期间保密。
• 这些规则同样适用于您运行的 AI 代理和扫描器。

安全港

在 Xquik 拥有的服务上，我们授权遵守本政策的研究。此类研究不违反我们的服务条款。对于善意的意外违规，Xquik 不会采取法律行动。本政策不授权访问第三方系统或数据。

响应时间

• 我们会在 3 个工作日内发送首次回复。
• 我们会在 14 天内告知分诊结果。
• 我们可能会请您提供更多证据或复现细节。
• 在条件允许时，我们会向您通报修复的重要进展。

奖励

奖励可以是金钱形式。金额取决于漏洞的影响，由 Xquik 决定。并非每份报告都能获得奖励。

我们只奖励全新的、可复现的、在范围内且有实际影响的问题。扫描器输出、未经验证的 AI 输出、缺失的请求头或最佳实践建议不予奖励。需要设备或账号已被入侵才能利用的问题不符合条件。

经您同意，我们还会按姓名致谢已确认的报告。