Ответственное раскрытие: нашлась уязвимость? Сообщи нам

Rovian — шахматная платформа, где играют с живым видео и звуком. Поэтому уязвимость может затронуть не только данные, но и камеры и микрофоны людей. Мы серьёзно относимся к сообщениям и гораздо охотнее сотрудничаем с исследователями, чем боремся с ними.

📮 Как сообщить

Один адрес: [email protected] — укажи [SECURITY] в теме письма. Свяжись с нами до публичного раскрытия; давай сначала всё исправим, а потом, если захочешь, вместе расскажем эту историю.

Сообщения обрабатываются намного быстрее, если в них есть:

• Где: затронутый URL, эндпоинт или экран (например, rovian.co/..., realtime.rovian.co, мобильное приложение).
• Как: пошаговое воспроизведение — пример запроса/ответа, скриншот или короткое видео.
• Последствия: что реально может сделать злоумышленник? (например, «Я могу прочитать историю партий другого пользователя».)
• Окружение: браузер/устройство и использованный тестовый аккаунт.
• Как тебя указать: как упомянуть тебя в благодарностях (или сообщи, если предпочитаешь анонимность).

Хочешь отправить зашифрованное сообщение? Напиши нам, и мы обменяемся ключами. (Когда мы опубликуем PGP-ключ, он появится в поле Encryption файла /.well-known/security.txt — если его там нет, значит, ключа у нас пока нет.)

⏱️ Что мы обещаем

• Мы подтвердим получение сообщения в течение 3 рабочих дней (ответит живой человек, а не автоответчик).
• Мы поделимся первичной оценкой в течение 10 рабочих дней: подтверждается ли проблема, насколько она серьёзна и что мы планируем делать.
• Мы держим тебя в курсе в процессе исправления и сообщим, когда проблема будет закрыта.
• Серьёзные проблемы мы стремимся исправлять в течение 90 дней. Если потребуется больше времени, объясним почему.
• С твоего разрешения мы укажем твоё имя в благодарностях ниже.

Rovian делает небольшая команда; круглосуточного центра безопасности у нас нет. Эти сроки мы действительно можем соблюдать — а если не сможем, напишем тебе.

⚖️ Безопасная гавань

Исследование, проведённое добросовестно и в рамках правил ниже, считается разрешённым. Если ты остаёшься в этих рамках:

• Мы не будем предпринимать юридических действий против тебя и не будем подавать на тебя заявлений.
• Технические шаги твоего исследования не считаются нарушением наших Условий использования, и мы не закроем из-за них твой аккаунт.
• Если против тебя предпримет действия третья сторона, мы письменно подтвердим, что наши правила были соблюдены.

Честно о границах: это наше обязательство, и оно не может отменить права третьих лиц или прокуратуры — мы можем говорить только за себя. Действия вне этих правил (вынос данных, вымогательство, вред другим пользователям) полностью выходят за рамки этой защиты.

🎯 Область действия

• rovian.co и все его страницы (веб-приложение, эндпоинты API)
• realtime.rovian.co — сокет игры/чата и сигнализация WebRTC
• Мобильные приложения Rovian (iOS и Android)
• Процессы аутентификации, управления сессиями и авторизации
• Обход защиты модерации и возрастного ограничения

Вне области действия

• Сторонние сервисы, которыми мы пользуемся (Railway, Cloudflare, Sentry, Snap, Google и другие), — о них сообщай в их собственные программы.
• Отказ в обслуживании (DoS/DDoS), нагрузочное и стресс-тестирование, атаки перебором.
• Социальная инженерия, фишинг, физические атаки и всё, что направлено на наших сотрудников.
• Необработанный вывод автоматических сканеров без подтверждённых последствий (отсутствующие заголовки, раскрытие версий, замечания по SPF/DMARC и т. п.).
• Self-XSS, код, который пользователь сам вставляет в свой браузер, и нереалистичные сценарии (например, с допущением полностью скомпрометированного устройства).
• Перебор имён пользователей/email и подобные находки без самостоятельных последствий — хотя мы будем рады узнать о них как о звене цепочки, пригодной для эксплуатации.

🚧 Правила проведения исследований

На Rovian играют с живой камерой и микрофоном. Большинство наших правил существует, чтобы это защитить:

• Тестируй на своих аккаунтах. Не трогай аккаунты, партии и сообщения реальных пользователей.
• Если оказалось, что тебе доступны камера, звук или чат другого пользователя, ОСТАНОВИСЬ. Не записывай, не сохраняй и не распространяй это. Опиши произошедшее словами вместо скриншота — этого нам достаточно в качестве доказательства.
• Не скачивай, не копируй, не удаляй и не изменяй персональные данные, к которым удалось получить доступ. Используй минимально возможное доказательство доступа.
• Не нарушай работу сервиса: никаких попыток DoS, удаления данных или дефейса.
• Не ухудшай работу других пользователей и не спамь в партиях и чатах.
• Не делись находкой с третьими лицами, пока она не исправлена; после этого мы поддержим её публикацию.

🏅 Вознаграждения

Сейчас мы не можем выплачивать денежные вознаграждения. Rovian — небольшая платформа, которая только начинает зарабатывать, и мы предпочитаем сказать это сразу, чем обещать вознаграждение, которое не сможем выплатить, и тратить время исследователей.

Что мы можем предложить взамен:

• Упоминание в благодарностях ниже (по желанию — со ссылкой на твой сайт или профиль).
• По запросу — подписанное благодарственное/рекомендательное письмо с описанием твоей находки и твоих действий.
• Бессрочный бесплатный премиум-доступ к Rovian за критические находки.
• По желанию — согласованная публикация после исправления (запись в блоге, помощь с получением CVE).

Когда у нас появится возможность запустить платную программу вознаграждений, мы объявим об этом на этой странице и обновим здесь область действия.

🚨 Срочно: безопасность детей

Подозрение на несовершеннолетнего пользователя или материалы сексуального насилия над детьми (CSAM) — это не «сообщение об уязвимости», и 90-дневный срок к ним не применяется. Немедленно сообщи об этом на [email protected] с темой «URGENT CHILD SAFETY»; для нас это наивысший приоритет. Не скачивай и не сохраняй этот контент в качестве доказательства — достаточно описать, что это было и где.

Для жалоб на преследование, обнажённость и нарушения правил на платформе используй кнопку «Пожаловаться» на экране партии; подробности — на странице «Сообщество и безопасность».

🔍 Наша защищённость (без преувеличений)

На этой странице нет значка «независимый аудит» или «сертифицировано по безопасности». Это сознательно: в безопасности не бывает статуса «пройдено». В лучшем случае оценка говорит: «на эту дату, в этой области, по этой методике мы обнаружили следующее». То, что верно сегодня, может перестать быть верным после завтрашнего деплоя.

Вместо этого — честная картина:

• Что мы сделали: санкционированный тест на проникновение (июль 2026) и регулярные внутренние проверки безопасности; аудит кода при каждом изменении, затрагивающем безопасность.
• Действующие меры защиты: Content-Security-Policy на основе nonce, суженный список разрешённых адресов connect-src, проверка сессии на каждом серверном маршруте, ограничение частоты запросов, необратимая подпись устройства против обхода блокировок и отсутствие автоматической записи обычных звонков. Обычные звонки автоматически не записываются. Исключения — доказательства для модерации, которые сохраняются по действию пользователя, и функции клипов, требующие явного согласия. Для клипов партии оба игрока должны включить согласие на запись. Подробнее — в Политике конфиденциальности.
• Чего мы НЕ заявляем: никакой сторонней сертификации безопасности, аттестации ISO/SOC или гарантии «отсутствия багов». Таких сертификатов у нас нет — если бы были, мы бы назвали здесь компанию, область и дату.

Настоящий признак доверия — не значок, а то, что любой, кто нашёл баг, точно знает, куда с ним идти. Для этого и существует эта страница.

🙏 Благодарности

Здесь мы благодарим исследователей, которые помогают защищать Rovian. Список пока пуст — твоё имя может стать первым. Если хочешь, чтобы здесь указали твоё имя (и по желанию ссылку), просто напиши об этом в сообщении.

Условия этой программы могут обновляться без предварительного уведомления; актуальная версия всегда на этой странице. Машиночитаемая версия: /.well-known/security.txt (RFC 9116).