安全
报告安全漏洞
发现了能闯进 RewardVane、读到不属于你的内容，或让它做不该做的事的办法？请告诉我们。每一份安全报告我们都会阅读，并在 1 天内确认收到。
怎么报告
写信给我们
发邮件到本页的地址，或者使用联系表单并写明这是一份安全报告。两种方式都会进入我们的优先队列。
说清你发现了什么
写明你做了什么、预期是什么、实际发生了什么，附上页面或接口地址和时间。简短的复现步骤就够了。不要带上真实用户的数据：能证明问题就请停下。
我们确认并修复
团队里的真人会在 1 天内确认收到，告诉你我们能否复现，并在修复前持续同步进展。
范围
在范围内
- rewardvane.com 上的 RewardVane 官网和账号服务，包括管理控制台的登录，以及所有需要登录才能访问的部分。
- 通过应用商店发布的 RewardVane App 和浏览器扩展。
- 它们调用的接口：登录、同步、购买校验和 AI 智能体连接。
不在范围内
- 需要已 Root 或越狱的设备，或需要接触他人已解锁手机才能成立的发现。
- 针对我们团队或用户的社会工程学、垃圾信息、拒绝服务和压力测试。
- 没有证明实际影响的安全响应头或 Cookie 标记缺失，以及没有证明的自动扫描器报告。
- 我们使用的第三方服务，例如支付、邮件和托管服务商：请直接报告给对应的服务商。
- 不属于你的账号或数据。请使用你自己的测试账号。
我们的请求与你可以期待的
我们请你做到
- 给我们合理的时间修复，再向其他人公开。
- 只使用属于你自己的账号和数据。不要读取、修改或保留他人的数据。
- 不要做会拖慢服务、影响他人的测试；证明了问题就请停下。
你可以期待
- 1 天内确认收到。
- 在问题修复之前持续同步进展。严重问题我们力争在 90 天内修复。
- 如果你愿意，我们会在更新日志里署名致谢。
- 对遵守这些条款、出于善意的研究，我们不会采取法律行动。
我们是个小团队，没有设立有偿的漏洞赏金。与其承诺给不出的奖励，不如直接说明。