漏洞披露政策

最后更新时间： 2025年11月20日

简介

在 GGWP Inc.，我们的使命是营造安全、包容的游戏社区。我们高度重视内容审核算法的安全性、客户数据的安全性以及玩家的隐私。

我们深知安全社区在构建更安全的互联网方面发挥着重要作用。我们感谢安全研究人员、道德黑客以及游戏社区为帮助我们识别和解决安全问题所做的贡献。如果您认为在我们的平台、API 或 SDK 中发现了安全漏洞，欢迎您尽快告知我们。

我们认为，只要您遵守本政策，安全研究和漏洞披露即属于《计算机欺诈和滥用法》（CFAA）、《数字千年版权法》（DMCA）及其他适用反黑客法律项下”已授权”的行为。

对于因意外或善意而违反本政策的行为，我们承诺不会对您提起或支持法律诉讼。

但是，本安全港不适用于以下情形：

请将您的测试范围限定在由 GGWP Inc. 拥有和运营的资产上：

我们客户的游戏：您严禁测试、入侵或破坏使用我们服务的游戏工作室的视频游戏、服务器或基础设施。测试应针对我们的 API 接口进行，而非游戏客户端本身。
由非 GGWP Inc. 提供商托管的第三方服务（例如 HubSpot、支撑服务的 AWS 基础设施，但不得破坏应用层）。

为继续享有安全港保护，您必须：

不得造成损害：不得降低我们服务的性能（例如 DoS/DDoS 攻击），或干扰我们为客户提供的审核能力。
隐私优先：请勿访问、下载或修改不属于您的账户中的数据。如果您发现属于他人的 PII（个人身份信息）、聊天记录或语音录音，请立即停止并报告该漏洞。
禁止横向渗透：不得利用已发现的漏洞渗透到内部系统或其他客户环境。
保密性：在我们获得合理的时间修复该问题之前，请勿向公众或第三方披露该漏洞（详见下文”披露政策”）。

以下问题通常被视为不在范围内，除非其能证明存在重大安全影响：

请通过电子邮件将您的报告发送至 security@ggwp.com。

您的报告应包括：

当您向我们提交漏洞时，我们承诺：

我们努力根据问题的严重程度进行修复。在商业上合理的努力范围内，我们的修复目标定义如下：

我们奉行协同漏洞披露原则。仅在以下情况之后，您才被授权公开您的发现：

标准披露的例外情况：

加速披露：如果某漏洞正在被实际利用（即”零日漏洞”），我们可能同意缩短披露时限，以便及时提醒社区。
延长披露：如果某漏洞影响复杂的生态系统（例如需要供应商提供上游修复的第三方依赖项），我们可能会要求延长 90 天以上的时限，以确保在公开发布前修复更广泛的生态系统

我们由衷感谢帮助我们维护游戏生态系统安全的安全研究人员。不过，为了设定正确的预期，有必要说明我们计划的性质。

无金钱奖励

目前，本计划为漏洞披露计划（VDP），而非付费漏洞赏金计划。我们目前不为提交的漏洞提供经济补偿或现金奖励。请勿在提交报告时期望获得报酬，也不得将获得补偿作为披露漏洞详情的条件。

我们的感谢

虽然我们无法提供现金赏金，但我们珍视您的贡献，并乐于为有效、高影响力的报告提供以下认可：