Công bố lỗ hổng có trách nhiệm

ManhCyberSec coi trọng an toàn của website và hệ thống của mình. Nếu bạn phát hiện lỗ hổng bảo mật, chúng tôi rất cảm ơn việc bạn thông báo riêng cho chúng tôi trước để có thời gian khắc phục.

1. Phạm vi

• Trong phạm vi: website https://manhcybersec.online/ và biểu mẫu liên hệ của website.
• Ngoài phạm vi: hệ thống của bên thứ ba (nhà cung cấp hosting, DNS, CDN, dịch vụ email) — vui lòng báo cáo trực tiếp cho nhà cung cấp tương ứng; các tên miền/dịch vụ không được liệt kê ở trên.

2. Cách báo cáo

Gửi email tới manhchuforworks@manhcybersec.online với tiêu đề bắt đầu bằng [Security]. Vui lòng cung cấp:

• Mô tả lỗ hổng và tác động có thể xảy ra;
• URL hoặc thành phần bị ảnh hưởng;
• Các bước tái hiện chi tiết, bằng chứng khái niệm (PoC) ở mức tối thiểu cần thiết;
• Thông tin liên hệ để chúng tôi trao đổi thêm (và tên bạn muốn được ghi nhận, nếu có).

Bạn có thể viết bằng tiếng Việt hoặc tiếng Anh. Thông tin liên hệ dạng máy đọc được có tại /.well-known/security.txt.

3. Nguyên tắc khi thử nghiệm

• Không thực hiện tấn công từ chối dịch vụ (DoS/DDoS), kiểm thử tải hoặc quét tự động gây ảnh hưởng đến hoạt động của website.
• Không thực hiện tấn công phi kỹ thuật (social engineering, phishing) nhắm vào nhân sự, đối tác, hay tấn công vật lý.
• Không truy cập, sửa đổi, xóa hoặc lưu giữ dữ liệu không thuộc về bạn; dừng lại ngay khi đã chứng minh được lỗ hổng.
• Không gửi spam hoặc gửi hàng loạt qua biểu mẫu liên hệ.
• Không công khai chi tiết lỗ hổng trước khi lỗ hổng được khắc phục hoặc trước khi hai bên thống nhất thời điểm công bố.

4. Cam kết của chúng tôi

• Xác nhận đã nhận báo cáo và trao đổi với bạn trong quá trình xử lý.
• Đánh giá, ưu tiên và khắc phục theo mức độ nghiêm trọng.
• Ghi nhận đóng góp của bạn sau khi khắc phục (nếu bạn đồng ý).
• Không theo đuổi hành động pháp lý đối với nghiên cứu được thực hiện thiện chí và tuân thủ chính sách này.

5. Phần thưởng

Hiện ManhCyberSec chưa có chương trình bug bounty trả thưởng. Chúng tôi trân trọng mọi báo cáo có trách nhiệm.