1. Jak chronimy konto
- HTTPS wszędzie. more.you, aplikacja, serwer MCP i opublikowane strony działają przez HTTPS. Własne domeny automatycznie dostają certyfikat.
- Logowanie przez Google. Logujesz się kontem Google, więc More.You nigdy nie widzi Twojego hasła do Google. Hasło zapisane przy wcześniejszej rejestracji jest przechowywane wyłącznie jako skrót bcrypt.
- Bezpieczne sesje. Pliki cookie logowania są bezpieczne i dostępne tylko przez HTTP, więc skrypty na stronie nie mogą ich odczytać.
- Połączenia AI pod Twoją kontrolą. AI Control łączy asystenta przez OAuth. Każde połączenie zatwierdzasz Ty i możesz je usunąć.
- Żadnych sekretów w kodzie. Klucze i hasła są przechowywane w AWS Systems Manager Parameter Store.
- Ochrona przed nadużyciami. Limity prób przy logowaniu i rejestracji oraz kontrola, czy każde żądanie zmieniające dane pochodzi z naszej własnej strony.
- Płatności przez Stripe. Dane karty trafiają prosto do Stripe. Nigdy nie widzimy ani nie przechowujemy numerów kart.
Polityka prywatności wyjaśnia, jakie dane przechowujemy i komu je udostępniamy.
2. Zgłoszenie luki w zabezpieczeniach
Napisz na security@more.you i dołącz:
- opis problemu i tego, co mógłby z nim zrobić atakujący;
- kroki pozwalające go odtworzyć, wraz z kodem proof-of-concept lub zrzutami ekranu;
- miejsce, w którym występuje, na przykład more.you, app.more.you lub mcp.more.you;
- imię i nazwisko lub nick, jeśli zgłaszający chce zostać wymieniony.
Prosimy nie zamieszczać informacji o luce w publicznym zgłoszeniu, w recenzji ani w poście w mediach społecznościowych.
3. Zakres
W zakresie
- more.you i prowadzone przez nas subdomeny, w tym app.more.you i api-app.more.you.
- Opublikowane strony pod adresem more.you/<name> i na podłączonych własnych domenach.
- Serwer MCP More.You pod adresem mcp.more.you/api i jego logowanie OAuth.
Poza zakresem
- Problemy w usługach, z których korzystamy, takich jak Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare i sieci społecznościowe. Te zgłoszenia należy kierować do firmy, która je prowadzi.
- Problemy w asystentach AI łączących się z naszym serwerem MCP, takich jak ChatGPT, Claude i Gemini.
- Ataki wymagające fizycznego dostępu do urządzenia ofiary, socjotechnika wobec naszych pracowników lub atak typu odmowa usługi przez natężenie ruchu.
- Problemy, które są już publiczne.
- Zgłoszenia bez możliwości wykazania rzeczywistej szkody.
4. Zasady testowania
- Testuj wyłącznie na własnym koncie i własnych stronach.
- Nie czytaj, nie zmieniaj ani nie usuwaj cudzych danych. Jeśli trafisz na nie przypadkiem, przerwij i napisz nam, co udało Ci się zobaczyć.
- Nie uruchamiaj automatycznych skanów, które spowalniają Usługę innym użytkownikom.
- Nie próbuj przyjmować płatności przez stronę, która nie należy do Ciebie, i nie używaj kart, których nie masz prawa używać.
5. Bezpieczna przystań
Jeśli w trakcie badań w dobrej wierze starasz się przestrzegać tej polityki, uznajemy Twoje badania za dozwolone. Będziemy współpracować, by szybko zrozumieć i naprawić problem, i nie wszczniemy ani nie poprzemy działań prawnych w tej sprawie.
6. Skoordynowane ujawnienie
Daj nam rozsądny czas na zbadanie i naprawienie problemu, zanim go upublicznisz. Gdy zostanie naprawiony, chętnie wymienimy Cię w publicznym komunikacie.
7. security.txt
Publikujemy /.well-known/security.txt zgodnie z RFC 9116, z tym samym adresem kontaktowym i linkiem do tej strony.
8. Jak dbać o bezpieczeństwo konta
- Włącz weryfikację dwuetapową dla konta Google, którym się logujesz.
- Usuń asystentów AI i połączenia ze Stripe, z których już nie korzystasz.
- Nigdy nie prosimy o hasło w e-mailu. Jeśli e-mail o nie prosi, prześlij go na security@more.you.
