1. 簡介
安全是我們營運的根本原則。我們歡迎安全研究人員、道德駭客以及廣大社群成員回報問題，幫助我們發現並解決潛在漏洞。本政策說明了如何負責任地回報安全問題，以及您可以從我們這裡獲得怎樣的回應。
2. 適用範圍
本政策適用於在 unofax.com 網頁應用程式及其相關 API 中發現的漏洞。以下內容不在適用範圍內：
• 第三方服務（例如 Square 支付處理、Google Analytics）
• 針對 unofax 員工或使用者的社會工程學或釣魚攻擊
• 阻斷服務（DoS/DDoS）攻擊
• 實體安全問題
• 非 unofax 擁有的軟體或基礎設施中的漏洞
3. 如何回報
如果您發現潛在的安全漏洞，請透過電子郵件 support@unofax.com 向我們回報，並盡可能提供詳細資訊：
• 漏洞描述及其潛在影響
• 重現該問題的步驟
• 任何佐證資料（截圖、概念驗證程式碼、紀錄檔）
• 您的姓名和聯絡方式（可選，但有助於後續跟進）
4. 我們的承諾
當您本著善意並按照本政策回報漏洞時，我們承諾：
• 在 3 個工作日內確認收到您的回報
• 在 10 個工作日內提供初步評估
• 隨時向您通報問題解決的進度
• 不會因您依照本政策進行的研究活動而對您採取法律行動
• 在我們公開處理該漏洞時（如您願意）為您署名致謝
5. 研究人員須知
為確保您的研究以負責任的方式進行，請遵守以下準則：
• 不得存取、修改或刪除屬於其他使用者的資料
• 不得干擾或降低 unofax 服務的可用性
• 在我們獲得合理的處理時間之前，不得公開揭露該漏洞
• 本著善意行事，避免任何可能損害 unofax 或其使用者的行為
• 僅可對您自己擁有或已取得明確測試許可的帳戶進行測試
6. 安全港條款
我們認為依照本政策進行的安全研究是經過授權的，對於遵守這些準則的研究人員，我們不會採取法律行動。如果有第三方就您依照本政策進行的活動對您提起法律訴訟，我們將採取合理措施表明您的行為已獲得授權。
7. 不適用情形
以下類型的發現通常不在本政策的考慮範圍內：
• 未導致可驗證利用的安全回應標頭缺失
• 無敏感操作頁面上的點擊劫持
• 自我 XSS（僅影響使用者自身工作階段的跨站腳本）
• 未展示濫用可能性的速率限制缺失
• 需要過時瀏覽器或外掛程式才能利用的漏洞
• 僅透過自動化掃描發現、未經人工驗證的問題
8. 聯絡方式
如需回報問題或諮詢，請發送電子郵件至 support@unofax.com。