安全漏洞披露政策

1. 范围

• ixcdn.com 与 www.ixcdn.com 网站、租户控制台、运营后台、节点加盟门户。
• 控制面 API（/api、/api/v1）与边缘节点对外提供的 HTTP/HTTPS、DNS 服务。
• IXCDN 发布的节点二进制（em-edge 等）。

不在范围内：客户源站与客户自己的内容；第三方服务（如 Stripe）；社会工程、钓鱼、物理入侵；拒绝服务与压力测试；仅影响过期浏览器的问题；缺少安全头、版本泄露等无可利用性的报告。

2. 如何报告

请发送邮件至 support@ixcdn.com，主题以 [Security] 开头，尽量包含：受影响的 URL 或组件、复现步骤、影响评估、截图或请求响应示例。若涉及敏感数据，请先只说明类型与范围，我们会提供加密通道。

请勿在公开渠道（issue、社交媒体、博客）披露未修复的漏洞。

3. 测试规则

• 只在你自己的账户、域名与数据上测试；不得访问、修改或删除其他用户的数据。发现可能触及他人数据时立即停止并报告。
• 不进行拒绝服务、流量洪泛、暴力破解或自动化扫描造成的性能影响。
• 不利用漏洞横向移动、持久化或提取超出证明所需的数据。
• 遵守法律法规，不索要报酬作为披露条件。

4. 我们的承诺

• 48 小时内确认收到报告。
• 7 日内完成初步评估并告知严重等级与处理计划。
• 高危问题目标 30 日内修复，其他问题目标 90 日内修复；修复后通知你并在你同意的情况下公开致谢。
• 若修复需要更长时间，我们会说明原因并协商披露时间。

5. 安全港

对于遵守本政策、出于善意进行的安全研究，我们不会提起法律诉讼或向执法机关投诉，并视为已获授权的测试。若第三方对你提起法律行动，而你遵守了本政策，我们将说明你的行为是经授权的。

6. 联系

support@ixcdn.com（主题 [Security]）。运营主体：物链网络（WlStack）。