Программа Bug Bounty

За что мы не выплачиваем вознаграждение

• Наш сайт, его API и наши серверы: z-text.com и все его поддомены, оформление заказа, платежи и ваучеры.
• За этим единственным исключением — всё, для чего требуется больше, чем две исходные позиции: другая программа или команда, запущенная на устройстве, отладчик, root или jailbreak, модифицированное приложение, резервная копия или копия хранилища устройства либо сид-фраза.
• Подбор PIN или пароля.
• То, что хранит или показывает операционная система: уведомления, снимки экрана, превью приложения, буфер обмена, название приложения в системных списках.
• То, что тревожный PIN и «Стереть кошелёк» намеренно оставляют. Они стирают всё, что Z-Text хранит для аккаунта на устройстве: сид-фразу, приватные ключи, сообщения, контакты и настройки; после этого приложение запускается заново с новыми пустыми файлами. Они не затрагивают файлы резервных копий, которые вы сохранили сами, например файл .ztbk на флешке или в облачном хранилище, а также копии, которые операционная система делает вне приложения: историю уведомлений, системные резервные копии и снимки хранилища.
• То, что может видеть сетевой наблюдатель или оператор узла, к которому вы подключаетесь.
• Обход проверок на модификацию, root или снимки экрана сам по себе либо разблокировка платных функций на вашем собственном устройстве без создания квитанции.
• Режим маскировки: это прикрытие, а не замок.
• Настройки и сведения об установке, которые не являются содержимым сообщений.
• Бесплатные предложения, акции, ваучеры, реферальные вознаграждения, допуски и округление в платежах, а также всё, что стоит нам только комиссий или доступности.
• Находки, связанные с CAPTCHA, ограничением частоты запросов и блокировками.
• Поведение, описанное в нашей документации, проблемы, о которых мы уже знаем, и известные уязвимости в сторонних компонентах.
• Ошибки интерфейса и функциональности (всё равно присылайте их как обычные отчёты об ошибках), отказ в обслуживании, отсутствующие заголовки безопасности, вывод сканеров и социальная инженерия.
• Сервисы, которые разрабатываем не мы: платёжные провайдеры, Cloudflare, сети BitcoinZ и Zcash, а также стандартный lightwalletd, работающий за light.z-text.com.

Отчёты

• Отчёт занимает своё место в очереди с момента, когда он полон: достигнутый вами результат, шаги, которые мы можем повторить на обычном устройстве, и доказательство. Всё, что прислано раньше, дату не закрепляет.
• Описанное в отчёте должно работать на новейшем публичном релизе с нашей страницы загрузок в день, когда вы подаёте отчёт. Исправление, которое мы выпустим после этого из-за вашего отчёта, его не дисквалифицирует.
• Если мы не можем воспроизвести описанное, отчёт закрывается. Отсутствие ответа от вас в течение 14 дней закрывает отчёт.

Как сообщить

Отправьте свой отчёт по электронной почте на адрес [email protected]. Достаточно обычного письма; шифрование PGP опционально и полностью на ваше усмотрение — мы никогда его не требуем. Мы стремимся подтвердить получение в течение 72 часов и далее согласовать раскрытие.

Правила

• Тестируйте только приложение, на собственных устройствах и с собственными кошельками. Не тестируйте наш сайт, его API и наши серверы. Не получайте доступ к данным, которые вам не принадлежат, не изменяйте и не уничтожайте их, не проводите тесты на отказ в обслуживании и не применяйте ни к кому социальную инженерию.
• Сначала сообщите конфиденциально. Публикация до нашего согласия лишает права на вознаграждение.
• Члены команды и подрядчики права на вознаграждение не имеют.
• Мы не будем предпринимать юридических действий в отношении добросовестных исследований, соответствующих этим правилам.

Как мы принимаем решения

• Мы решаем, соответствует ли отчёт условиям, является ли он дубликатом, какова его серьёзность и каково вознаграждение. Совпадения с формулировкой результата из списка недостаточно; мы оцениваем то, что было достигнуто на самом деле.
• Одно вознаграждение за одну первопричину, как её определяем мы, для всех платформ, версий и вариантов. Цепочка шагов — это одна находка. Вознаграждение получает первый полный отчёт.

Выплата и изменения

• Вознаграждения выплачиваются в порядке принятия, только из этого пула, в ZEC по рыночной цене на момент отправки. Если пул не может покрыть вознаграждение полностью, автор отчёта получает остаток, и программа завершается.
• Время указывается по UTC. Отчёт считается полученным, когда он в полном виде поступает на [email protected].
• Мы можем изменить или завершить программу. Отчёт оценивается по тексту, опубликованному на день, когда он поступил в полном виде.

История условий

• С 4 июня по 4 октября 2026 года: фаза 1. От 0,1 до 3 ZEC за находку, из пула в 7 ZEC.
• С 5 октября 2026 года: фаза 2, суммы в USD. ZEC вырос примерно с $430 до примерно $1500, поэтому те же уровни в ZEC платили примерно в три с половиной раза больше, чем мы планировали. Отчёты, полученные до 5 октября, оплачиваются на условиях фазы 1.
• С 10 октября 2026 года: на этой странице полностью указано, за какие результаты и из каких исходных позиций выплачивается вознаграждение. Размеры вознаграждений не изменились; уровень «Низкий», дававший только благодарность, упразднён. Отчёты, полученные раньше, оцениваются по прежнему тексту.
• С 14 октября 2026 года: программа распространяется только на приложение Z-Text. Наш сайт, его API и наши серверы исключены из программы, а два серверных результата в уровнях «Критический» и «Высокий» удалены. Размеры вознаграждений не изменились. Отчёты, полученные раньше, оцениваются по прежнему тексту.
• С 16 октября 2026 года: на странице указано, что стирают тревожный PIN и «Стереть кошелёк» и что они оставляют: файлы резервных копий, которые вы сохранили сами, и копии, которые операционная система делает вне приложения. Размеры вознаграждений не изменились. Отчёты, полученные раньше, оцениваются по прежнему тексту.
• Каждая выплата указана с датой, серьёзностью, условиями, по которым она сделана, и транзакцией.