1. 简介
安全是我们运营的根本原则。我们欢迎安全研究人员、道德黑客以及广大社区成员报告问题，帮助我们发现并解决潜在漏洞。本政策说明了如何负责任地报告安全问题，以及您可以从我们这里获得怎样的回应。
2. 适用范围
本政策适用于在 unofax.com 网页应用及其相关 API 中发现的漏洞。以下内容不在适用范围内：
• 第三方服务（例如 Square 支付处理、Google Analytics）
• 针对 unofax 员工或用户的社会工程学或钓鱼攻击
• 拒绝服务（DoS/DDoS）攻击
• 物理安全问题
• 非 unofax 拥有的软件或基础设施中的漏洞
3. 如何报告
如果您发现潜在的安全漏洞，请通过电子邮件 support@unofax.com 向我们报告，并尽可能提供详细信息：
• 漏洞描述及其潜在影响
• 重现该问题的步骤
• 任何支持性证据（截图、概念验证代码、日志）
• 您的姓名和联系方式（可选，但有助于后续跟进）
4. 我们的承诺
当您本着善意并按照本政策报告漏洞时，我们承诺：
• 在 3 个工作日内确认收到您的报告
• 在 10 个工作日内提供初步评估
• 随时向您通报问题解决的进展
• 不会因您依照本政策开展的研究活动而对您采取法律行动
• 在我们公开处理该漏洞时（如您愿意）为您署名致谢
5. 研究人员须知
为确保您的研究以负责任的方式开展，请遵守以下准则：
• 不得访问、修改或删除属于其他用户的数据
• 不得干扰或降低 unofax 服务的可用性
• 在我们获得合理的处理时间之前，不得公开披露该漏洞
• 本着善意行事，避免任何可能损害 unofax 或其用户的行为
• 仅可对您自己拥有或已获得明确测试许可的账户进行测试
6. 安全港条款
我们认为依照本政策开展的安全研究是经过授权的，对于遵守这些准则的研究人员，我们不会采取法律行动。如果有第三方就您依照本政策开展的活动对您提起法律诉讼，我们将采取合理措施表明您的行为已获得授权。
7. 不适用情形
以下类型的发现通常不在本政策的考虑范围内：
• 未导致可验证利用的安全响应头缺失
• 无敏感操作页面上的点击劫持
• 自我 XSS（仅影响用户自身会话的跨站脚本）
• 未展示滥用可能性的速率限制缺失
• 需要过时浏览器或插件才能利用的漏洞
• 仅通过自动化扫描发现、未经人工验证的问题
8. 联系方式
如需报告问题或咨询，请发送电子邮件至 support@unofax.com。