---
title: 漏洞赏金计划与漏洞披露政策、测试范围和奖励规则 | Xquik
description: 通过电子邮件向 Xquik 报告安全漏洞。查看测试范围、测试规则、安全港条款和响应时间。奖励可以是金钱形式，并取决于漏洞的影响。只能使用您自己的账号进行测试，保持较低的自动化流量，不得访问其他客户的数据，也不得进行拒绝服务测试或发送垃圾信息。
canonical: https://xquik.com/zh/vulnerability-disclosure
language: zh
last-updated: 2026-11-08
---

# 漏洞赏金与漏洞披露政策

Xquik 依据这项负责任披露政策运行漏洞赏金计划。奖励可以是金钱形式，并取决于漏洞的影响。在[安全致谢](https://xquik.com/zh/security-acknowledgments)页面查看过往报告者。

## 报告安全问题

请发送电子邮件至 [support@xquik.com](mailto:support@xquik.com)，并以 "Security report" 作为邮件主题。请附上受影响的 URL、影响、复现步骤和佐证材料。发送报告前，请删除其中的密钥等机密信息和无关的个人数据。

## 可测试的范围

- xquik.com
- dashboard.xquik.com
- docs.xquik.com
- 公开的 Xquik API、Webhook、OAuth、SDK 和 MCP 服务器

## 范围之外

- 第三方服务，包括 X (Twitter)
- 由客户管理的端点，例如客户的 Webhook 服务器
- 其他客户的账号和数据

## 如何安全地测试

- 只使用您自己的账号进行测试，包括 Xquik 和 X (Twitter) 账号。
- 保持较低的自动化流量，并遵守我们公布的速率限制。
- 不得进行拒绝服务、负载或压力测试。
- 不得发送垃圾信息，也不得操作他人的 X (Twitter) 账号。
- 不得访问其他客户的数据。如果接触到，请停止并告知我们。
- 不得使用社会工程或网络钓鱼。
- 避免侵犯隐私、造成数据丢失或导致服务降级。
- 请及时报告问题，并在审核期间保密。
- 这些规则同样适用于您运行的 AI 代理和扫描器。

## 安全港

在 Xquik 拥有的服务上，我们授权遵守本政策的研究。此类研究不违反我们的服务条款。对于善意的意外违规，Xquik 不会采取法律行动。本政策不授权访问第三方系统或数据。

## 响应时间

- 我们会在 3 个工作日内发送首次回复。
- 我们会在 14 天内告知分诊结果。
- 我们可能会请您提供更多证据或复现细节。
- 在条件允许时，我们会向您通报修复的重要进展。

## 奖励

奖励可以是金钱形式。金额取决于漏洞的影响，由 Xquik 决定。并非每份报告都能获得奖励。

我们只奖励全新的、可复现的、在范围内且有实际影响的问题。扫描器输出、未经验证的 AI 输出、缺失的请求头或最佳实践建议不予奖励。需要设备或账号已被入侵才能利用的问题不符合条件。

经您同意，我们还会按姓名致谢已确认的报告。

Xquik 是独立的第三方服务，与 X Corp. 没有关联。"Twitter" 和 "X" 是 X Corp. 的商标。