1. 引言
我们欢迎任何认为自己发现了 Unopost 安全漏洞的人士向我们报告。本负责任披露政策说明如何报告漏洞、我们要求您在查找漏洞时遵守的规则，以及我们相应会做的事情。本政策由运营 Unopost 的 AWS, CYY & Co. Pty Ltd (ACN 686 116 245) 作为 Mumu, Lulu & Co. (ABN 54 837 123 965) 的受托人发布。
我们不设有偿漏洞赏金计划，也不为报告支付奖励。经您许可，我们会在问题修复后在本页面上具名向您致谢。
2. 适用范围
本政策涵盖：
- 我们位于 https://unopost.com.au 的网站（所有语言版本）
- 企业门户
- 位于 https://unopost.com.au/api/v1 的 Business API，以及位于 https://unopost.com.au/x402 的 x402 API
- 我们就信件和企业账户发送的电子邮件
本政策不涵盖我们所使用的、由他人运营的服务，例如 Square、Australia Post 或 Amazon Web Services。这些服务中的问题，请向相关服务提供商报告。
3. 如何报告
请发送电子邮件至 support@unopost.com.au 并在主题行中注明“Security”。请在邮件中提供：
- 问题的描述，以及您认为其造成的影响
- 受影响的 URL、端点或功能
- 重现问题的分步说明，并附上任何概念验证代码、截图或请求
- 我们与您联系的方式，以及您是否希望我们具名致谢
如您发现了已暴露的密钥、密码或其他机密信息，请立即告知我们，且不要使用。如有可能，请使用英文撰写。
4. 我们对您的要求
在查找和报告漏洞时，您必须：
- 仅针对您本人的账户、文档和信件，或您已获得所有者许可使用的账户、文档和信件进行测试
- 一旦接触到不属于您的个人信息、文档或数据，立即停止，并告知我们您访问了哪些内容。不得复制、保留、更改或删除这些内容，也不得与任何人分享
- 不得降低本服务的性能或中断本服务，包括通过拒绝服务攻击、负载测试或大量自动扫描
- 未经他人同意不得向其邮寄信件，也不得向我们的客户、其收件人或我们的员工发送消息
- 不得对我们的员工、场所或服务提供商使用社会工程、网络钓鱼或物理攻击
- 不得使用他人的支付卡、企业余额或凭据
- 仅进行证明漏洞存在所必需的操作
- 除非我们与您另有约定，否则在我们修复问题之前，或在您报告后 90 天内（以较早者为准），对细节保密
- 遵守法律
5. 我们会做什么
当您按照本政策报告漏洞时，我们会：
- 在 2 个工作日内确认收到您的报告
- 告知您我们能否重现该问题，并随时向您通报进展
- 力争在 90 天内修复经确认的漏洞；如漏洞使个人信息面临风险，则会更快修复
- 在问题修复后通知您，并在您要求时具名向您致谢
如问题涉及个人信息，我们会按照我们的隐私政策 (https://unopost.com.au/privacy) 第 11 条所述进行评估，并通知受影响的个人和澳大利亚信息专员办公室 (Office of the Australian Information Commissioner)。
6. 安全港
如您本着诚信并按照本政策行事，我们会将您的研究视为已获授权，不会就此对您采取法律行动，也不会向执法机关举报您。如有第三方因符合本政策的研究对您采取法律行动，我们会表明您的研究已获得我们的授权。
如您违反了本政策、访问了超出必要范围的内容，或以不披露问题为条件索要报酬，则上述规定不适用。如您不确定打算进行的某项操作是否被允许，请先通过 support@unopost.com.au 询问我们。
7. 我们不视为漏洞的情形
除非您能证明对本服务或我们用户的安全造成了实际影响，否则以下情形通常不在本政策范围内：
- 没有可行概念验证的自动扫描器报告
- 仅仅缺少安全标头、Cookie 标志或电子邮件身份验证记录 (SPF, DKIM, DMARC)
- 在没有任何可能造成危害的操作的页面上的点击劫持
- Self-XSS，或需要实际接触用户已解锁设备的问题
- 软件版本信息泄露，或对不涉及安全后果的操作缺少速率限制
- 拒绝服务，以及第 2 条所述第三方服务中的漏洞
8. 本政策的变更
我们可随时通过在本页面发布新版本来变更本政策。您提交报告时所发布的版本适用于该报告。