善意研究 绝不会招致律师函。

安全研究使产品更安全，我们希望报告先于攻击者到达我们手中。如果您遵循本政策，我们将：快速确认收到您的报告；与您合作理解并验证漏洞；在修复期间向您通报进展；如您希望，将为您署名致谢；且不会因该研究对您采取或支持法律行动。最后一项承诺是本文件的核心，第 07 条对此进行了具体阐述。

发送邮件至 security@transglot.ai。内容包括：您发现的问题、发现位置、复现步骤、攻击者可利用该漏洞执行的操作，以及任何有助于我们确认的信息（如请求和响应、短视频、概念验证代码）。请告知我们您是否希望署名以及使用的名称。如可能，请使用英文撰写。如果您希望加密报告，请在首封邮件中提出，我们将交换密钥。我们还发布了包含相同地址的 security.txt 文件，因此自动扫描器会将流量指向由人工阅读的邮箱。

我们将在三个工作日内确认收到报告。在十个工作日内提供初步评估，包括是否可以复现以及我们的评级。当修复程序发布时，我们会通知您；对于高危或严重问题，通常在验证后的九十天内发布修复，若风险活跃则会更快。如果修复需要更长时间，我们会说明原因，而不会保持沉默。在发布有关该问题的任何信息之前，我们会告知您；未经询问，我们不会公布您的姓名。

请在首次报告后给予我们九十天的时间再公开发布细节；如果修复确实复杂或需要客户配合操作，经协商可延长此期限。我们不会利用这段时间掩盖问题：我们会向您更新进展，如果无法修复也会如实告知，且在期限届满后不反对您发布信息。如果问题正在被积极利用，请立即告知我们，我们将相应加快处理速度。我们乐意协调联合公告，并在适当时申请 CVE 编号。

我们自有域名上的生产 Web 应用程序和营销网站、公共 REST API、交付端点、上下文编辑器及其嵌入界面、我们发布的客户端包、Webhook 交付和签名、身份验证和单点登录流程，以及可从互联网访问的公共基础设施。关于我们已记录为刻意权衡的设计决策（例如共享精确匹配翻译记忆库池或实时卷缺乏磁盘级加密）的报告，欢迎作为论点提出，但不视为漏洞：这些已在安全页面上明确说明，以免研究人员花费下午的时间去证明我们已经公开的事实。

任何非由我们运营的系统，包括客户自己的网站、第三方集成以及通过连接器访问的任何系统。拒绝服务、容量或资源耗尽测试，以及任何降低其他用户服务体验的行为。针对我们的员工、办公室或供应商的社会工程学、网络钓鱼或物理攻击尝试。垃圾邮件，以及未附带分析内容的自动扫描器生成的报告。仅缺失最佳实践标头、无实际影响的 Cookie 标志、无可利用路径的过时库、通过超出限制发现的速率限制、自引发的跨站脚本、在无敏感操作页面上的点击劫持报告，或我们已记录为差距的广泛内容安全策略缺失。需要物理访问受害者未锁定设备的漏洞，或需要根级别妥协受害者自己机器的漏洞。

如果您在研究过程中本着善意努力遵守本政策，我们将视您的研究为授权行为，与您合作快速理解并解决问题，且不会建议您或对您采取法律行动，包括依据计算机滥用、反黑客、反规避或合同法提起的诉讼，也包括依据《可接受使用政策》或《服务条款》提出的因您的测试否则将构成违约的任何索赔。如果第三方因您根据本政策进行的研究而对您提起诉讼，我们将表明您的活动已获授权。此安全港仅限于我们：它不能也不授权您对第三方、其他客户或任何其他人员的系统采取行动。

仅使用您拥有或获得明确测试许可的登录名和账户，并创建您自己的免费工作区，而非探测他人的工作区。不要访问、修改、复制、泄露或销毁不属于您的数据，如果您意外遇到客户数据，请立即停止，不要保存，并立即告知我们所见内容，以便我们评估暴露情况。不要降低可用性或运行负载、压力或拒绝服务测试。不要利用发现的结果获取超出演示所需的更多访问权限，也不要维持持久性。不要勒索，也不要将披露与付款挂钩。在第 04 条允许之前不要发布。遵守适用法律以及适用于您的任何出口管制或制裁限制。

目前暂无有偿漏洞赏金计划。我们提供的是快速的人工响应、如您希望的公开致谢、针对重大发现的书面推荐信，以及上述安全港保护。如果我们启动付费计划，将在接受第一份提交之前在此公布范围和金额区间。

我们不会要求您签署保密协议作为接收报告的条件，也不会利用报告提交表单来迫使您保持沉默。对于被判定为低危或重复的报告，我们不会威胁您。我们不会向您的雇主、学校或平台举报您。如果我们对严重性评级有异议，我们会解释原因，而不是直接关闭沟通渠道。

客户在使用产品过程中发现漏洞，受本政策及其安全港条款保护，报告漏洞绝不违反《可接受使用政策》。请将漏洞报告至安全邮箱，而非通过普通支持渠道，以确保其直达相关人员且无需排队等候。如可能，请避免使用属于您最终用户的生产数据进行测试。

安全页面列出了我们有意未构建的功能，以便审查者或研究人员直接从我们这里了解，而非在尽职调查中自行发现：实时卷未进行磁盘加密；审计日志在应用层仅支持追加写入，不包含哈希链或签名；没有广泛的内容安全策略（CSP）；目前我们没有持有第三方安全认证。公开我们自身的不足是业内成本最低的诚实做法，也能为每个人节省一周时间。

安全报告及关于本政策的疑问请发送至 security@transglot.ai。任何非安全问题（包括滥用和版权事宜）请发送至 hello@transglot.ai。隐私和数据保护事宜请发送至 privacy@transglot.ai。