1. 前言
我們歡迎任何認為已發現 Unopost 安全漏洞之人士向我們回報。本負責任揭露政策說明如何回報漏洞、我們要求您在查找時遵守之規則，以及我們相應會採取之行動。本政策由營運 Unopost 之 AWS, CYY & Co. Pty Ltd（ACN 686 116 245）以 Mumu, Lulu & Co.（ABN 54 837 123 965）受託人之身分發布。
我們未設有償之漏洞獎勵計畫，亦不就回報支付獎勵。經您同意，我們會於問題修正後在本頁面具名向您致謝。
2. 適用範圍
本政策適用於：
- 我們位於 https://unopost.com.au 之網站（所有語言版本）
- 企業入口網站
- 位於 https://unopost.com.au/api/v1 之 Business API，以及位於 https://unopost.com.au/x402 之 x402 API
- 我們就信件及企業帳戶寄送之電子郵件
本政策不適用於我們所使用、由他人營運之服務，例如 Square、Australia Post 或 Amazon Web Services。該等服務之問題，請向相關服務提供者回報。
3. 如何回報
請寄信至 support@unopost.com.au ，並於主旨中註明「Security」。請提供：
- 問題之說明，以及您認為其造成之影響
- 受影響之網址、端點或功能
- 重現問題之逐步說明，並附上任何概念驗證程式碼、螢幕截圖或請求
- 我們與您聯絡之方式，以及您是否希望我們具名致謝
如您發現外洩之金鑰、密碼或其他機密資訊，請立即告知我們，且請勿使用。如可能，請以英文撰寫。
4. 我們對您之要求
於查找及回報漏洞時，您必須：
- 僅針對您本人之帳戶、文件及信件，或您已獲所有者同意使用者進行測試
- 一旦接觸到不屬於您的個人資料、文件或資料，立即停止，並告知我們您存取了哪些內容。不得複製、保留、變更或刪除該等內容，亦不得與任何人分享
- 不得降低本服務之效能或中斷本服務，包括以阻斷服務攻擊、負載測試或大量自動掃描之方式
- 未經他人同意不得向其郵寄信件，亦不得向我們的客戶、其收件人或我們的人員傳送訊息
- 不得對我們的人員、場所或服務提供者使用社交工程、網路釣魚或實體攻擊
- 不得使用他人之支付卡、企業餘額或憑證
- 僅進行證明漏洞存在所必要之行為
- 除我們與您另有約定外，於我們修正問題前，或於您回報後 90 日內（以較早者為準），對細節保密
- 遵守法律
5. 我們會採取之行動
如您依本政策回報漏洞，我們會：
- 於 2 個工作天內確認收到您的回報
- 告知您我們是否能重現該問題，並隨時向您通報進度
- 力求於 90 日內修正經確認之漏洞；如其使個人資料面臨風險，則更早修正
- 於問題修正時通知您，並於您要求時具名向您致謝
如問題涉及個人資料，我們會依我們的隱私權政策 (https://unopost.com.au/privacy) 第 11 條所述進行評估，並通知受影響之個人及 Office of the Australian Information Commissioner（澳洲資訊專員辦公室）。
6. 安全港
如您出於善意並依本政策行事，我們會將您的研究視為經授權，不會就此對您採取法律行動，亦不會向執法機關檢舉您。如第三人就符合本政策之研究對您採取法律行動，我們會表明您的研究已獲我們授權。
如您違反本政策、存取超出必要範圍之內容，或以不揭露問題為條件要求付款，則前項不適用。如您不確定擬進行之行為是否獲准，請先寄信至 support@unopost.com.au 詢問我們。
7. 我們不視為漏洞之情形
除非您能證明對本服務或我們使用者之安全有實際影響，否則下列情形原則上不在本政策範圍內：
- 未附可運作之概念驗證之自動掃描工具報告
- 僅缺少安全標頭、Cookie 旗標或電子郵件驗證記錄（SPF, DKIM, DMARC）
- 於無任何可能造成危害之操作之頁面上的點擊劫持
- Self-XSS，或需實際接觸使用者已解鎖裝置之問題
- 軟體版本資訊揭露，或對不具安全影響之操作未設速率限制
- 阻斷服務，以及第 2 條所述第三方服務之漏洞
8. 本政策之變更
我們得隨時於本頁面發布新版本以變更本政策。您提出回報時所發布之版本，適用於該回報。