---
title: "报告漏洞 | VoxisLive"
description: "如何报告 VoxisLive 的安全问题、我们会作出哪些回应承诺、哪些内容在范围之内，以及对善意研究适用的安全港条款。"
url: https://voxislive.com/zh/security
language: "zh-CN"
source_html: https://voxislive.com/zh/security
site: "Voxis — real-time voice translation"
og_image: https://voxislive.com/assets/og.png
generated_by: voxislive-markdown-pipeline
---

[首页](https://voxislive.com/zh/) · / · [信任中心](https://voxislive.com/zh/trust-center) · / · 报告漏洞

安全

# 报告漏洞。

如果您在 VoxisLive 中发现了安全问题，本页会告诉您该把它发到哪里、我们会如何处理，以及我们对您作出哪些承诺。我们不运行付费的赏金计划——这是一项披露政策，而且写下它就是为了遵守它。

## 发送到哪里

请发送电子邮件至 [support@voxislive.com](mailto:support@voxislive.com)，并在主题行中写上**“security”**。同一个地址也公布在我们的 [`security.txt`](https://voxislive.com/.well-known/security.txt) 中，它是本页的机器可读版本。

请不要为安全问题创建公开的 GitHub issue。那里的代码库只是为审计而公开的只读摘录，而在那里创建的 issue 从您按下发送的那一刻起，任何人都能看到。

## 应包含哪些内容

一份我们能够复现的报告，远比一个扫描器的评分更有价值。您能提供的下列信息越多，问题修复得越快：

- 您发现了什么，用一两句话说明。
- 在哪里——确切的 URL、应用版本或扩展版本。
- 复现步骤，按您操作的先后顺序列出。
- 攻击者实际上能利用它做什么。没有影响路径的发现同样欢迎，但请如实说明，而不要夸大。
- 任何有助于我们确认的材料：一组请求/响应、一张截图、一段简短的视频。

**请不要包含他人的数据。**如果您的概念验证恰好暴露了他人的账户、转写记录或电子邮件地址，请告诉我们存在这种情况，然后到此为止——不要收集这些数据，也不要把它们附在报告中。

## 我们的承诺

- **我们会在一个工作日内确认，最迟不超过两个工作日。**工作日为周一至周五（UTC+3）。这与我们在所有其他支持渠道作出的承诺相同。
- **我们会告诉您我们的判断。**您会得到我们的评估——已确认、无法复现，或接受但不予修复——以及理由，而不是悄无声息地关闭。
- **我们会在处理期间向您通报进展**，而不是一直沉默到修复发布。
- **如果您愿意，我们会为您署名**，在本页使用您选择的任何名字或昵称。您也可以要求匿名。
- **问题修复后我们会告知您**，并且不会要求您永远保密。

我们只请您回报一件事：在公开之前，给我们一段合理的时间来修复问题。90 天是我们遵循的常规期限，如果有事情耗时超过这个期限，我们宁愿与您商量，也不会任由时间悄悄耗尽。

## 安全港

如果您本着善意努力遵守本政策，我们不会对您采取法律行动，也不会要求您的托管服务商或雇主这样做。我们会将您的研究视为已获授权；如果有第三方就此提出主张，我们会明确说明您是在本政策范围内行事。

“善意”指的是：一旦拿到证据您就停止了，没有访问、修改或销毁不属于您的数据，没有为其他任何人降低服务质量，并且先给了我们修复的机会。安全港涵盖本页划入范围的内容——它无法涵盖我们服务提供商的系统，也不是攻击这些系统的许可。

## 范围之内

- `voxislive.com` 及其各语言子路径，以及其上的账户、登录和计费流程。
- 应用所连接的认证与用量 API。
- Windows 和 Linux 桌面应用。
- Chrome 和 Edge 浏览器扩展。
- 企业管理面板（如果您已获得访问权限）。

## 范围之外

这些内容要么不由我们授权，要么没有告诉我们任何可以据以行动的信息：

- 拒绝服务、负载测试，或任何会降低真实用户服务质量的行为。
- 针对我们的团队、客户或服务提供商的社会工程；网络钓鱼；物理接触尝试。
- 我们子处理者的系统——Google、Alibaba Cloud、Polar 和 Resend 都运行着各自的披露计划，我们无法授予您在其基础设施上的许可。我们的[子处理者名单](https://voxislive.com/zh/subprocessors)列出了其中每一家。
- 仅为扫描器输出或缺失响应头评分、没有演示出实际影响的报告。
- 没有攻击路径的、缺少最佳实践加固的情形——同样请告诉我们，但请预期它会作为改进项而不是漏洞来分级处理。
- 垃圾信息、暴力破解进入不属于您的账户，或任何涉及他人数据的行为。

## 没有赏金

我们不为漏洞报告付费。我们宁愿直截了当地说明，也不愿让您花上数小时去期待。我们提供的是快速的、真人的答复，如果您愿意还有公开署名，以及一个您可以自行验证的修复。

## 我们不作的声明

披露政策不是认证。我们没有 ISO 27001 证书、没有 SOC 2 报告、没有第三方鉴证，也不签署商业伙伴协议（Business Associate Agreement）。[信任中心](https://voxislive.com/zh/trust-center)写明了我们声明什么，同样重要的是，我们不声明什么——包括您的音频去向何处、哪些内容永远不会离开您的电脑，以及涉及哪些第三方。

## 致谢

目前还没有人向我们报告过漏洞。当有人报告并希望署名时，其名字将列在这里。

常见问题

## 常见问题

### 你们会为漏洞报告付费吗？

不会。没有赏金，也没有纪念品。您会在一个工作日内收到确认回复，得到一份认真的评估，如果您愿意还可以获得公开署名，并得到一个您可以自行验证的修复。

### 我可以公开自己的发现吗？

可以，在问题修复之后，或在经过合理的期限之后——我们按 90 天的期限处理。我们不会要求您无限期保持沉默；如果修复耗时超过这个期限，我们宁愿与您商定一个日期，也不会任由它拖下去。

### 我发现的问题出在桌面应用，而不是网站。它在范围之内吗？

是的。Windows 应用、Linux 应用和浏览器扩展都在范围之内，它们所连接的 API 也一样。请附上版本号——它显示在应用的设置中，也显示在更新日志页面上。

### 如果问题其实出在 Google 或 Alibaba 的服务上呢？

也请告诉我们，我们会转达给对方，并告知您我们已经转达。但我们无权授权您在对方的基础设施上进行测试，因此上文的安全港并不延伸到那里——凡是您想直接测试的内容，请通过对方自己的披露计划处理。

### 这是漏洞赏金计划吗？

不是。这是一项漏洞披露政策：一份关于我们如何处理报告的公开承诺。赏金计划会为发现支付报酬，通常在某个平台上运行；本政策两者都不是。

### 如何报告非安全类的缺陷？

请使用应用内的“报告问题”。它会附上经过脱敏的日志和诊断信息，而且如果脱敏失败，就绝不会发送任何内容。对于普通缺陷，这条途径比电子邮件快得多，能更快送到正确的人手中。


## Structured data (JSON-LD)

```json
[
  {
    "@context": "https://schema.org",
    "@graph": [
      {
        "@type": "BreadcrumbList",
        "itemListElement": [
          {
            "@type": "ListItem",
            "position": 1,
            "name": "首页",
            "item": "https://voxislive.com/zh/"
          },
          {
            "@type": "ListItem",
            "position": 2,
            "name": "信任中心",
            "item": "https://voxislive.com/zh/trust-center"
          },
          {
            "@type": "ListItem",
            "position": 3,
            "name": "报告漏洞",
            "item": "https://voxislive.com/zh/security"
          }
        ]
      },
      {
        "@type": "WebPage",
        "name": "报告漏洞 | VoxisLive",
        "url": "https://voxislive.com/zh/security",
        "description": "如何报告 VoxisLive 的安全问题、我们会作出哪些回应承诺、哪些内容在范围之内，以及对善意研究适用的安全港条款。",
        "inLanguage": "zh-CN",
        "isPartOf": {
          "@type": "WebSite",
          "name": "VoxisLive",
          "url": "https://voxislive.com/"
        },
        "publisher": {
          "@id": "https://voxislive.com/#org",
          "@type": "Organization",
          "name": "VoxisLive",
          "url": "https://voxislive.com/"
        }
      },
      {
        "@type": "FAQPage",
        "mainEntity": [
          {
            "@type": "Question",
            "name": "你们会为漏洞报告付费吗？",
            "acceptedAnswer": {
              "@type": "Answer",
              "text": "不会。没有赏金，也没有纪念品。您会在一个工作日内收到确认回复，得到一份认真的评估，如果您愿意还可以获得公开署名，并得到一个您可以自行验证的修复。"
            }
          },
          {
            "@type": "Question",
            "name": "我可以公开自己的发现吗？",
            "acceptedAnswer": {
              "@type": "Answer",
              "text": "可以，在问题修复之后，或在经过合理的期限之后——我们按 90 天的期限处理。我们不会要求您无限期保持沉默；如果修复耗时超过这个期限，我们宁愿与您商定一个日期，也不会任由它拖下去。"
            }
          },
          {
            "@type": "Question",
            "name": "我发现的问题出在桌面应用，而不是网站。它在范围之内吗？",
            "acceptedAnswer": {
              "@type": "Answer",
              "text": "是的。Windows 应用、Linux 应用和浏览器扩展都在范围之内，它们所连接的 API 也一样。请附上版本号——它显示在应用的设置中，也显示在更新日志页面上。"
            }
          },
          {
            "@type": "Question",
            "name": "如果问题其实出在 Google 或 Alibaba 的服务上呢？",
            "acceptedAnswer": {
              "@type": "Answer",
              "text": "也请告诉我们，我们会转达给对方，并告知您我们已经转达。但我们无权授权您在对方的基础设施上进行测试，因此上文的安全港并不延伸到那里——凡是您想直接测试的内容，请通过对方自己的披露计划处理。"
            }
          },
          {
            "@type": "Question",
            "name": "这是漏洞赏金计划吗？",
            "acceptedAnswer": {
              "@type": "Answer",
              "text": "不是。这是一项漏洞披露政策：一份关于我们如何处理报告的公开承诺。赏金计划会为发现支付报酬，通常在某个平台上运行；本政策两者都不是。"
            }
          },
          {
            "@type": "Question",
            "name": "如何报告非安全类的缺陷？",
            "acceptedAnswer": {
              "@type": "Answer",
              "text": "请使用应用内的“报告问题”。它会附上经过脱敏的日志和诊断信息，而且如果脱敏失败，就绝不会发送任何内容。对于普通缺陷，这条途径比电子邮件快得多，能更快送到正确的人手中。"
            }
          }
        ]
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://voxislive.com/#org",
    "name": "VoxisLive",
    "legalName": "VoxisLive Limited",
    "alternateName": [
      "Voxis",
      "Voxis Live"
    ],
    "url": "https://voxislive.com/",
    "logo": {
      "@type": "ImageObject",
      "url": "https://voxislive.com/assets/voxis-mark-512.png",
      "width": 512,
      "height": 512
    },
    "identifier": "UK Companies House 17500296",
    "address": {
      "@type": "PostalAddress",
      "streetAddress": "71-75 Shelton Street, Covent Garden",
      "addressLocality": "London",
      "postalCode": "WC2H 9JQ",
      "addressCountry": "GB"
    },
    "contactPoint": [
      {
        "@type": "ContactPoint",
        "contactType": "customer support",
        "email": "support@voxislive.com",
        "url": "https://voxislive.com/contact",
        "availableLanguage": [
          "en",
          "tr",
          "es",
          "de",
          "fr",
          "pt",
          "ko",
          "ja",
          "zh",
          "ru"
        ]
      }
    ],
    "sameAs": [
      "https://apps.microsoft.com/store/detail/9P5Z0KVS58RS",
      "https://snapcraft.io/voxis",
      "https://chromewebstore.google.com/detail/voxis-%E2%80%94-live-translate/eaoplhkoomnlgfhcjeccgkhnkodkfbjn",
      "https://github.com/VoxisLive/voxislive",
      "https://www.reddit.com/r/LiveTranslation/",
      "https://www.reddit.com/r/LiveTranslation/wiki/index",
      "https://www.youtube.com/@VoxisLiveApp",
      "https://www.wikidata.org/wiki/Q141727138",
      "https://find-and-update.company-information.service.gov.uk/company/17500296",
      "https://www.google.com/search?kgmid=/g/11zyg5wsj8",
      "https://www.linkedin.com/company/voxislive/"
    ]
  }
]
```