漏洞揭露政策

最後更新：2026 年 7 月 30 日

Odysec 歡迎善意的安全研究。若您在我們的系統或發布的工具中發現安全性問題，請依本政策回報——我們會認真對待每一則回報，並以協調揭露（coordinated disclosure）的方式處理。

一、適用範圍

• odysec.org 與 check.odysec.org 及其 API 端點。
• 我們發布之採集程式（odysec-check.py）與其他公開工具。

不在範圍內：我們客戶的系統與資產（我們無權授權您測試它們）、第三方服務（如 Cloudflare、金流服務商）。

二、如何回報

來信 security@odysec.org，盡可能包含：

• 問題的類型與所在位置（網址、端點或工具版本）。
• 重現步驟或概念驗證。
• 您評估的影響範圍。

我們目前未提供漏洞獎金計畫；經您同意後，我們樂於在修補後具名致謝。

三、我們的處理方式

• 通常於 7 個工作天內確認收件，並告知初步評估結果。
• 修補完成前，請勿公開該問題的細節；我們會與您協調揭露的時點。
• 回報內容僅用於評估與修補該問題，處理原則依隱私政策。

四、善意研究的界線

在下列界線內善意行事的研究者，我們不會對其採取法律行動：

• 僅針對第一節所列範圍進行非破壞性測試。
• 不存取、修改或刪除不屬於您的資料；驗證問題所需的最小存取為限，並於回報後刪除所取得之資料。
• 不進行阻斷服務（DoS）、暴力破解、垃圾郵件、社交工程或實體入侵。
• 發現問題後在合理時間內回報，且不向第三方揭露。

五、我們自身的研究行為

作為資安服務提供者，我們對外的檢測行為遵循同一標準：

• 所有檢測均以取得授權為前提——外部攻擊面監控須先完成網域所有權驗證（DNS TXT），主機健檢之採集程式由客戶自行執行。
• 若我們於研究或服務過程中發現第三方系統之安全問題，將依協調揭露原則通知該系統之營運者，不公開未修補之細節。

六、聯絡

安全性回報：security@odysec.org。本政策之機器可讀版本位於 /.well-known/security.txt，該檔以下列金鑰簽署。

七、OpenPGP 金鑰

若您需要加密回報內容，或希望驗證 security.txt 的簽章，請使用下列金鑰：

本金鑰亦已發布於 Web Key Directory，可直接取得：

gpg --locate-external-keys security@odysec.org
curl -s https://odysec.org/.well-known/security.txt | gpg --verify