Bug Bounty & Пентест (SEC-05)

Автоматический пентест OWASP ASVS перед запуском, регламент раскрытия уязвимостей и стандарт RFC 9116

Гарантии защиты исследователей (Safe Harbor)

Компания гарантирует отказ от любых судебных и уголовных претензий к исследователям безопасности, действующим добросовестно, в рамках установленного Scope, без причинения вреда данным пользователей и без нарушения доступности сервисов.

В рамках тестирования (In-Scope)

Разрешено

*.ems.fitonik.ru (Публичные поддомены сервиса)
ems.fitonik.ru (REST API Gateway v1)
app.fitonik.ru / Dashboard (Кабинет управления рассылками)
SMTP endpoints (Порты 25, 465, 587)
Inbound Webhooks и Tracking-серверы

Запрещено к тестированию (Out-of-Scope)

Строго запрещено

DDoS и атаки на отказ в обслуживании (Denial of Service)
Социальная инженерия (фишинг, звонки) против сотрудников и клиентов
Физическое проникновение в дата-центры Selectel
Спам-рассылки на сторонние адреса без согласия владельцев
Уязвимости в устаревших браузерах без подтвержденного PoC

Шкала выплат вознаграждений (Bounty Tiers)

critical

100 000 — 300 000 ₽

RCE, полный обход авторизации, SQL-инъекция с утечкой БД, массовый доступ к чужим базам.

high

30 000 — 100 000 ₽

BOLA/IDOR к чужим кампаниям, SSRF к метадате, обход rate limits с массовой отправкой.

medium

10 000 — 30 000 ₽

Хранимый Stored XSS в редакторе писем, утечка чувствительной служебной информации.

low

3 000 — 10 000 ₽

Некорректная конфигурация заголовков, раскрытие версий сервисов, мелкие дефекты валидации.