Безопасность: сообщить об уязвимости
Редакция от 26 октября 2026 года.
Если вы нашли уязвимость в Voltir, сообщите нам до публикации. Мы разберём сообщение, исправим уязвимость и расскажем вам о результате.
Что принимаем
- портал platform.voltir.tech, его API и приём данных от агентов;
- агент мониторинга для Linux и Windows: установщик, обновление, службы на хосте;
- поставка on-premise: установщик, образы, конфигурация по умолчанию;
- сайт voltir.tech.
Уязвимость в стороннем компоненте (Grafana, VictoriaMetrics, nginx, экспортёры агента) тоже принимаем, если она затрагивает Voltir в нашей конфигурации.
Как сообщить
Письмом на support@voltir.ru с темой «Уязвимость». Опишите:
- где уязвимость: адрес, версию агента или on-premise;
- шаги воспроизведения и что получилось в результате;
- возможные последствия, если вы их оценили.
Писать можно на русском или английском. Машиночитаемые контакты — в /.well-known/security.txt (RFC 9116).
Сроки
Ответим в течение 3 рабочих дней: подтвердим получение и скажем, воспроизвели ли уязвимость. Срок исправления зависит от критичности:
- критическая — до 7 дней;
- высокая — до 30 дней;
- средняя и низкая — до 90 дней.
Срок считается с момента, когда мы воспроизвели уязвимость. Если воспроизвести не удалось — попросим дополнительные данные. Критичность оцениваем по CVSS и сообщаем вам. Если исправление требует больше времени, предупредим заранее и объясним причину.
Исправление в облаке выкатываем сами. Клиентам on-premise сообщаем об обновлении и о том, что оно закрывает.
Добросовестное исследование
Мы не будем преследовать исследователя и не будем обращаться в правоохранительные органы, если он:
- проверяет уязвимость на своей учётной записи или своей установке и не обращается к чужим данным больше, чем нужно для подтверждения;
- не нарушает работу сервиса для клиентов;
- сообщает нам и не публикует подробности, пока уязвимость не исправлена или не прошёл срок исправления из списка выше.
Если в ходе проверки вы получили доступ к чужим данным, остановитесь и сообщите нам. Данные не сохраняйте и никому не передавайте.
Что не принимаем
- отказ в обслуживании (DoS, DDoS) и нагрузочные проверки;
- социальную инженерию, фишинг сотрудников и клиентов, физический доступ;
- отчёты автоматических сканеров без подтверждённого сценария атаки;
- отсутствие заголовков или настроек без показанных последствий.
Вознаграждение
Программы вознаграждений у нас нет. С вашего согласия упомянем вас в описании исправления.