安全与负责任披露政策

安全就是我们的产品，因此我们欢迎发现 HackGrade 漏洞的研究人员向我们报告。本页说明如何报告以及我们的承诺。

1. 如何报告

请发送电子邮件至 support@hackgrade.com，说明问题、复现步骤、受影响的 URL 以及您认为的影响。请勿包含他人的个人数据。我们的联系方式也以机器可读的形式发布在 /.well-known/security.txt。

2. 范围内

• 本网站及其 API：hackgrade.com（含 www.hackgrade.com）、hackgrade.185-202-223-42.sslip.io，以及我们公布为自有的任何域名。
• 我们扫描器的行为，例如扫描超出已验证域名或超过公布的限制。

3. 范围外

• 我们客户的网站。请向网站所有者报告，而不是向我们报告。
• 我们使用的第三方服务（托管、支付、电子邮件）。请直接向他们报告。
• 拒绝服务、压力测试、垃圾信息、针对员工或用户的社会工程以及物理攻击。
• 没有实际影响证明的自动化工具报告、没有真实风险的最佳实践响应头缺失，以及 self-XSS。

4. 测试规则

• 只使用您自己创建的账户，不要访问、修改或删除其他用户的数据。如果意外接触到他人的数据，请停止，不要保留，并告知我们。
• 不要为了测试我们的服务而通过它深度扫描不属于您的网站。
• 保持较低的测试量，如发现性能下降请停止。
• 在公开任何内容之前，请给我们合理的修复时间（我们的目标是 90 天，严重问题更短），并与我们协调公开事宜。

5. 我们的承诺（安全港）

如果您出于善意并遵守本政策，我们将视您的研究为已获授权，不会因此对您采取法律行动或向主管机关举报您；如果第三方因此对您采取行动，我们会表明您的研究已获授权。我们将在 3 个工作日内确认收到报告，随时告知进展，并在您愿意时公开致谢。我们目前不提供漏洞赏金。

本安全港仅涵盖 HackGrade 的系统，不能授权对他人系统进行测试。