漏洞回報政策

銷冠助手（topsales1688.com，以下稱「本服務」）由小型團隊營運。我們知道再小心的系統也可能有疏漏，因此歡迎資安研究者與使用者把發現的安全性問題告訴我們。本頁說明回報管道、我們會怎麼處理，以及進行測試時必須遵守的界線。

本頁即 /.well-known/security.txt 中 Policy 欄位所指的政策文件。

1. 怎麼回報

為了讓我們能盡快重現並修復，回報時請盡量包含：

• 受影響的網址、端點或軟體版本。
• 具體的重現步驟（能重現的最小步驟即可）。
• 你認為可能造成的影響，以及你實際驗證到的程度。
• 必要的截圖或請求／回應紀錄，請自行遮蔽其中的憑證與他人個資。
• 你希望我們如何稱呼你（若你不希望被提及，也請直說）。

請使用中文或英文。若回報內容含有敏感細節，請只透過上述 Email 傳送，不要公開張貼。

2. 我們的處理流程

• 確認收到：我們的目標是在 5 個工作日內回信確認已收到你的回報。
• 初步評估：確認後我們會盡快重現並評估影響範圍，並把評估結果回覆給你。
• 修復：確認成立的問題，我們會依嚴重程度排定順序處理；高風險問題優先。修復完成後會通知你。
• 進度：處理期間若耗時較久，我們會在你詢問時說明目前進度。

我們是小型團隊，上述時間為努力目標而非保證；若遇到假期或人力吃緊可能延後，但我們會誠實告知狀況。

3. 公開揭露

請在我們完成修復前，先不要公開漏洞細節。若你打算公開，請事先與我們協調時間；一般情況下，我們希望在回報後 90 天內完成修復並取得共識再公開。若問題正在被實際利用，我們會加速處理並主動說明。

4. 適用範圍

本政策適用於下列由我們自行維運的資產：

• topsales1688.com 官方網站、會員中心與後台。
• 本服務自行撰寫的後端函式與 API 端點。
• 由本服務官方網站提供下載的銷冠助手桌面軟體安裝檔與其更新機制。

5. 不適用範圍

• 第三方服務本身的問題，例如 Google、Supabase、Cloudflare、藍新金流（NewebPay）、以及軟體所操作的社群平台。請直接向該服務的資安管道回報。
• 你自行修改過的軟體、自架環境，或第三方非官方管道取得的安裝檔。
• 僅有理論風險、無法說明實際攻擊路徑的項目（例如單純缺少某個安全標頭、版本號揭露、自動化掃描器的原始輸出）。
• 需要使用者自行安裝惡意程式、或攻擊者已完全控制使用者電腦才成立的情境。
• 社群工程、釣魚郵件、電話詐騙等針對人的手法。
• 實體安全、遺失或被竊裝置相關情境。

不在範圍內不代表我們不想知道——若你覺得值得一提，還是歡迎來信，我們只是無法承諾一定會處理。

6. 測試時禁止的行為

進行測試時，請務必遵守下列界線。這些行為會直接影響其他使用者，我們無法將其視為善意研究：

• 阻斷服務：DoS／DDoS、壓力測試、大流量自動化掃描、暴力破解或任何會影響服務可用性的行為。
• 接觸他人資料：存取、下載、保存或散布不屬於你自己的帳號資料。若你在測試中意外看到他人資料，請立即停止、不要保存，並在回報中告知我們。
• 破壞資料或系統：修改、刪除他人資料，植入後門或持續性存取，或以任何方式影響服務正常運作。
• 社交工程與實體手段：對我們的人員、客服、使用者或合作廠商進行釣魚、假冒或實體入侵。
• 勒索式回報：以公開細節、通報主管機關或其他方式施壓要求報酬。

請盡量使用你自己的測試帳號驗證，並在能證明問題存在的最小範圍內停手。

7. 善意研究的處理方式

若你遵守本政策（特別是第 6 節的界線）、僅在證明問題存在的必要範圍內測試、並依第 1 節私下向我們回報，我們不會因為你的這些研究行為對你提出法律追訴或求償，並會將你的行為認定為善意的安全研究。

需要說明的是：本聲明僅代表本服務的立場，我們無法代表 Google、Supabase、Cloudflare、藍新金流等第三方服務商，也無法免除中華民國法律或其他主管機關的規定。針對第三方基礎設施的測試，請遵守該服務商自己的政策。

8. 獎勵

本服務目前沒有漏洞獎金（Bug Bounty）制度，我們也不想給你錯誤的期待。對於幫助我們修復問題的回報者，在你同意的前提下，我們可以在修復說明中具名致謝。

9. 政策修訂

本政策修訂時將公布於本頁面並更新上方的「最後更新」日期。

10. 相關頁面

security.txt · 隱私權政策 · 使用者條款