1. Как мы защищаем ваш аккаунт
- HTTPS везде. more.you, приложение, MCP-сервер и опубликованные страницы работают по HTTPS. Для своих доменов сертификат выпускается автоматически.
- Вход через Google. Вы входите через аккаунт Google, поэтому More.You никогда не видит ваш пароль от Google. Пароль, сохранённый после более ранней регистрации, хранится только в виде хеша bcrypt.
- Защищённые сессии. Cookie для входа имеют флаги Secure и HTTP-only, поэтому скрипты на странице не могут их прочитать.
- ИИ-подключения под вашим контролем. ИИ-управление подключает ассистента через OAuth. Вы подтверждаете каждое подключение и можете его удалить.
- Никаких секретов в коде. Ключи и пароли хранятся в AWS Systems Manager Parameter Store.
- Защита от злоупотреблений. Ограничения частоты запросов при входе и регистрации и проверка того, что каждый запрос, меняющий данные, приходит с нашего сайта.
- Платежи через Stripe. Данные карты сразу попадают в Stripe. Мы никогда не видим и не храним номера карт.
В Политике конфиденциальности описано, какие данные мы храним и кому их передаём.
2. Сообщить об уязвимости
Напишите на security@more.you и укажите:
- описание проблемы и того, что с её помощью может сделать злоумышленник;
- шаги для воспроизведения, с любым кодом для демонстрации (proof-of-concept) или скриншотами;
- где она находится, например more.you, app.more.you или mcp.more.you;
- ваше имя или ник, если хотите, чтобы мы вас упомянули.
Пожалуйста, не публикуйте уязвимость в открытом обращении, отзыве или посте в соцсетях.
3. Область действия
В области применения
- more.you и поддомены, которыми мы управляем, включая app.more.you и api-app.more.you.
- Опубликованные страницы по адресу more.you/<name> и на подключённых своих доменах.
- MCP-сервер More.You по адресу mcp.more.you/api и вход через OAuth.
Вне области применения
- Проблемы в сервисах, которыми мы пользуемся, например Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare и соцсети. Сообщайте о них компаниям, которые ими управляют.
- Проблемы в ИИ-ассистентах, которые подключаются к нашему MCP-серверу, например ChatGPT, Claude и Gemini.
- Атаки, требующие физического доступа к устройству жертвы, социальная инженерия в отношении наших сотрудников или отказ в обслуживании за счёт объёма трафика.
- Проблемы, которые уже стали публичными.
- Сообщения, которые не показывают реального вреда.
4. Правила тестирования
- Тестируйте только на собственном аккаунте и собственных страницах.
- Не читайте, не меняйте и не удаляйте чужие данные. Если вы получили к ним доступ случайно, остановитесь и расскажите нам, что увидели.
- Не запускайте автоматические сканирования, которые замедляют Сервис для других.
- Не пытайтесь получить оплату со страницы, которая вам не принадлежит, и не используйте карты, которыми вам нельзя пользоваться.
5. Правовая защита исследователей
Если во время исследования вы добросовестно стараетесь следовать этой политике, мы считаем ваше исследование разрешённым. Мы вместе с вами разберёмся в проблеме и быстро её исправим, а юридических действий по этому поводу не начнём и не будем поддерживать.
6. Согласованное раскрытие
Дайте нам разумное время, чтобы изучить и исправить проблему, прежде чем вы сделаете её публичной. После исправления мы с радостью укажем вас в любом публичном уведомлении.
7. security.txt
Мы публикуем файл /.well-known/security.txt по RFC 9116 с тем же контактным адресом и ссылкой на эту страницу.
8. Берегите свой аккаунт
- Включите двухэтапную проверку для аккаунта Google, через который вы входите.
- Удаляйте ИИ-ассистентов и подключения Stripe, которыми больше не пользуетесь.
- Мы никогда не просим пароль по электронной почте. Если в письме его просят, перешлите это письмо на security@more.you.
