安全披露

举报漏洞

若您认为发现了影响 cryptoservers.io 或底层基础设施的安全漏洞，请通过以下渠道之一进行举报：

• 电子邮件——[email protected]，建议使用我方公钥进行 PGP 加密。
• security.txt——依据 RFC 9116，机器可读联系方式位于 /.well-known/security.txt。
• HackerOne 私有项目——须受邀参与；请在初始邮件中注明您的 HackerOne 用户名。

在我们有机会响应之前，请勿通过公开渠道（GitHub Issues、Twitter、Mastodon、支持工单）披露漏洞。

适用范围

范围内

• cryptoservers.io 网站属性及所有子域名。
• 客户控制面板（panel.cryptoservers.io）。
• /.well-known/ 目录及其签名内容。
• 影响我方 KVM 架构的虚拟机监控程序逃逸、宿主机至客户机、客户机至客户机及热迁移漏洞。
• 面板或其 OAuth 流程中的身份验证/授权绕过。
• 客户个人身份信息或支付数据的泄露。

范围外

• 运行于我方基础设施上的客户托管内容或客户运营服务——请直接联系客户或使用 abuse@。
• 针对我方基础设施的拒绝服务测试。
• 对我方员工的社会工程攻击。
• 无可证明影响的自动扫描器发现。
• 不直接导致漏洞的缺失安全标头。
• 营销页面上无可利用漏洞的过时软件版本。

举报后的后续处理

1. 24 小时内确认接收，每周 7 天，经 PGP 签名。
2. 72 小时内分类处理——严重性评估及初步修复预期时间。
3. 修复与验证——我们发布修复方案，请您验证，然后部署至生产环境。
4. 协调披露——与您协商确定，通常在修复发布后 90 天。我们将发布事后分析报告并致谢（如需匿名可提出申请）。
5. 漏洞赏金——请参阅下方漏洞赏金部分。

漏洞赏金等级

以美元（USD，银行转账）或您选择的加密货币（BTC、XMR、LTC、ETH、DASH、BCH、DOGE）按授奖当日即期汇率支付。

重复举报按首个有效提交原则授奖。我们迄今支付的最高赏金为 $12,000（2025-09-11，虚拟机热迁移 TOCTOU 漏洞）。所有有效研究人员在选择参与的情况下将列入名人堂。

安全港保护

在本政策范围内及精神下开展的研究，在圣基茨法律及我方运营司法管辖区法律下不构成未授权访问，我们不会对善意行事的研究人员提起民事或刑事诉讼。具体而言：

• 请勿泄露超出证明影响所必要的数据——一张截图即可说明问题。
• 请勿执行破坏性操作（删除客户数据、中断服务、修改生产状态）。
• 一旦证明影响存在，立即停止并进行举报。
• 在协调披露日期之前，请勿向第三方分享研究发现。

若您出于善意意外超出范围，请立即联系我们，我们将共同妥善处理。