安全政策

如何报告安全问题

直接写信给我们。

电子邮件： security@workoutgen.app

RFC 9116 文件： /.well-known/security.txt

请包含

• 清晰的复现步骤
• 测试的确切范围（URL、端点、用户路径、账户类型、环境）
• UTC时间的测试日期和时间
• 可衡量之影响
• 经过删减的请求和响应、日志或 HAR 文件（如适用）
• 概念验证（PoC）或截图（如可能）
• 对于会话或重放问题，操作之间的确切延迟，以及在刷新后或超过60秒后问题是否仍然存在

范围

本政策涵盖 workoutgen.app、my.workoutgen.app、api.workoutgen.app、我们的 iPhone、Android 和 Windows 应用，以及所有相关服务。如果你不确定某项内容是否在范围内，请先询问，我们宁愿收到误报，也不愿漏掉真正的安全问题。

仅依赖于浏览器扩展、本地恶意软件、无权限边界的自我XSS（self-XSS）或对 WorkoutGen 无证实影响的第三方行为的报告，通常不在范围之内。

我们对您的要求

• 不要访问超出证明漏洞存在所必需的范围之外的用户数据
• 不要进行拒绝服务测试 - 我们的基础设施很紧凑，每次请求都有成本
• 不进行社会工程学、钓鱼或物理攻击
• 如果你不小心发现了敏感内容，请停止并告知我们 - 我们会保密并与你合作，而不是与你对抗
• 请限制测试频率，并避免任何可能降低服务质量的自动化操作
• 请在发送证明之前遮蔽活跃的令牌、密钥和个人数据

你可以对我们抱有的期待

我们将在 72 小时内确认收到，并会透明说明我们的发现以及我们能够合理采取的措施。

修复时间取决于严重程度、复杂性和我们的能力。高影响漏洞会被优先处理。名人堂的入选由我们酌情决定，主要表彰有效或具有实质帮助的报告。

名人堂

这些研究员选择提供帮助而不是利用漏洞。我们对此深表感谢。