发送到哪里
请发送电子邮件至 [email protected]，并在主题行中写上“security”。同一个地址也公布在我们的 security.txt 中，它是本页的机器可读版本。
请不要为安全问题创建公开的 GitHub issue。那里的代码库只是为审计而公开的只读摘录，而在那里创建的 issue 从您按下发送的那一刻起，任何人都能看到。
应包含哪些内容
一份我们能够复现的报告，远比一个扫描器的评分更有价值。您能提供的下列信息越多，问题修复得越快：
- 您发现了什么，用一两句话说明。
- 在哪里——确切的 URL、应用版本或扩展版本。
- 复现步骤，按您操作的先后顺序列出。
- 攻击者实际上能利用它做什么。没有影响路径的发现同样欢迎，但请如实说明，而不要夸大。
- 任何有助于我们确认的材料：一组请求/响应、一张截图、一段简短的视频。
请不要包含他人的数据。如果您的概念验证恰好暴露了他人的账户、转写记录或电子邮件地址，请告诉我们存在这种情况，然后到此为止——不要收集这些数据，也不要把它们附在报告中。
我们的承诺
- 我们会在一个工作日内确认，最迟不超过两个工作日。工作日为周一至周五（UTC+3）。这与我们在所有其他支持渠道作出的承诺相同。
- 我们会告诉您我们的判断。您会得到我们的评估——已确认、无法复现，或接受但不予修复——以及理由，而不是悄无声息地关闭。
- 我们会在处理期间向您通报进展，而不是一直沉默到修复发布。
- 如果您愿意，我们会为您署名，在本页使用您选择的任何名字或昵称。您也可以要求匿名。
- 问题修复后我们会告知您，并且不会要求您永远保密。
我们只请您回报一件事：在公开之前，给我们一段合理的时间来修复问题。90 天是我们遵循的常规期限，如果有事情耗时超过这个期限，我们宁愿与您商量，也不会任由时间悄悄耗尽。
安全港
如果您本着善意努力遵守本政策，我们不会对您采取法律行动，也不会要求您的托管服务商或雇主这样做。我们会将您的研究视为已获授权；如果有第三方就此提出主张，我们会明确说明您是在本政策范围内行事。
“善意”指的是：一旦拿到证据您就停止了，没有访问、修改或销毁不属于您的数据，没有为其他任何人降低服务质量，并且先给了我们修复的机会。安全港涵盖本页划入范围的内容——它无法涵盖我们服务提供商的系统，也不是攻击这些系统的许可。
范围之内
voxislive.com及其各语言子路径，以及其上的账户、登录和计费流程。- 应用所连接的认证与用量 API。
- Windows 和 Linux 桌面应用。
- Chrome 和 Edge 浏览器扩展。
- 企业管理面板（如果您已获得访问权限）。
范围之外
这些内容要么不由我们授权，要么没有告诉我们任何可以据以行动的信息：
- 拒绝服务、负载测试，或任何会降低真实用户服务质量的行为。
- 针对我们的团队、客户或服务提供商的社会工程；网络钓鱼；物理接触尝试。
- 我们子处理者的系统——Google、Alibaba Cloud、Polar 和 Resend 都运行着各自的披露计划，我们无法授予您在其基础设施上的许可。我们的子处理者名单列出了其中每一家。
- 仅为扫描器输出或缺失响应头评分、没有演示出实际影响的报告。
- 没有攻击路径的、缺少最佳实践加固的情形——同样请告诉我们，但请预期它会作为改进项而不是漏洞来分级处理。
- 垃圾信息、暴力破解进入不属于您的账户，或任何涉及他人数据的行为。
没有赏金
我们不为漏洞报告付费。我们宁愿直截了当地说明，也不愿让您花上数小时去期待。我们提供的是快速的、真人的答复，如果您愿意还有公开署名，以及一个您可以自行验证的修复。
我们不作的声明
披露政策不是认证。我们没有 ISO 27001 证书、没有 SOC 2 报告、没有第三方鉴证，也不签署商业伙伴协议（Business Associate Agreement）。信任中心写明了我们声明什么，同样重要的是，我们不声明什么——包括您的音频去向何处、哪些内容永远不会离开您的电脑，以及涉及哪些第三方。
致谢
目前还没有人向我们报告过漏洞。当有人报告并希望署名时，其名字将列在这里。