安全漏洞揭露政策
最後更新:2026 年 9 月 24 日 · 版本 1.0.0
本政策說明如何通報 SwiftQuantum 服務的安全漏洞、研究期間請您遵守的事項, 以及我們承諾的回應。SwiftQuantum 由美國德拉瓦州有限責任公司 SwiftQuantum Technologies, LLC 營運,所有通報皆由創辦人本人閱讀與處理,以下回應時限即以此為前提。
聯絡資訊的機器可讀版本公布於 /.well-known/security.txt(RFC 9116)。
1. 通報方式
請寄信至 security@swiftquantum.tech,並盡量附上:
- 受影響的產品、URL、API 端點,或 App 及其版本;
- 問題說明及可能影響;
- 重現步驟,如有概念驗證亦請附上(截圖、HTTP 請求、簡短腳本);
- 是否曾存取、修改或保留任何資料,以及其內容;
- 是否希望公開致謝,以及希望的署名方式。
通報可使用英文或韓文。若需傳送敏感資料,請先來信告知,我們會另行商定 傳遞方式。目前未公布 PGP 公鑰。
請勿透過 App 評論、社群媒體、公開 GitHub issue 或一般客服管道通報漏洞。
2. 適用範圍
適用
swiftquantum.tech及其子網域(*.swiftquantum.tech)上的網頁應用程式 與網站(包括本站);- 由
*.swiftquantum.tech提供的 API(包括身分驗證服務及 SwiftQuantum Legal API); - SwiftQuantum 於 Apple App Store 上架的 iOS、iPadOS、macOS、visionOS App: SwiftQuantum、QuantumNative、Q-Bridge、QuantumCareer、Q-Alpha、 Q-Shield、Q-Logos、Q-Bio Genesis;
- 以 SwiftQuantum 組織名義發布的開源套件(限於影響其使用者的問題)。
不適用
- 我們所使用之第三方服務本身的問題(例如 Amazon Web Services、Stripe、 Apple、OpenAI、Anthropic、IBM Quantum 或電子郵件服務商),請直接向該 業者通報。但若問題源自我們的設定或整合方式,則屬適用範圍;
- 需以已 root/越獄裝置、實體接觸受害者已解鎖裝置,或受害者瀏覽器已遭 入侵為前提的問題;
- 未證明可實際利用的安全標頭、Cookie 屬性或 TLS 設定缺漏;
- 無狀態變更操作頁面的點擊劫持、登出 CSRF、self-XSS;
- 未經驗證影響的自動化掃描結果;
- 未顯示可實際導致帳號接管或資料外洩的速率限制/暴力破解問題;
- 未證明可實際偽冒寄信的電子郵件設定(SPF、DKIM、DMARC 政策)問題;
- 僅發生於原廠已停止支援之瀏覽器或作業系統的問題。
如不確定是否適用,請直接通報並註明。
3. 請勿進行的行為
- 禁止阻斷服務。 請勿進行壓力測試、大量請求或任何影響其他使用者的 行為,亦請勿填滿儲存空間或佇列。
- 禁止存取超出證明所需範圍的資料。 若接觸到個人資料,請立即停止, 勿複製或保留,並在通報中說明所見內容。請僅使用您自行建立的帳號,或 帳號擁有者同意參與的帳號。
- 禁止社交工程。 請勿對使用者、創辦人或我們的合作廠商進行社交工程 或網路釣魚。
- 禁止實體攻擊。 請勿對辦公室、住所或設備進行任何實體嘗試。
- 請勿修改或刪除非屬於您的資料;確認問題後,請勿留下後門、持續性工作 階段或 web shell 等存取途徑。
- 請勿以非屬於您的憑證提交量子硬體作業或 AI 請求等,使用他人的付費 資源。
- 在我們完成修正前,或在依第 5 條約定的揭露日前,請勿公開漏洞或告知 任何第三人。
4. 安全港
凡本於善意努力遵守本政策所進行的研究,我們視為已獲授權。具體而言,我們:
- 不會對遵守本政策的研究,依電腦系統未經授權存取相關法律(例如韓國 《資訊通訊網路法》、美國 Computer Fraud and Abuse Act)或規避技術保護 措施相關法律提起法律行動,亦不會請求執法機關追訴;
- 在此類研究與服務條款相牴觸的範圍內,不將其視為違反服務條款;
- 若第三方因遵守本政策之研究向您提出請求,我們將說明該活動已獲我們授權。
本安全港僅適用於本政策範圍內的系統與行為,不拘束第三方,我們亦無法授權 測試非我們所擁有的系統。若不確定預定行為是否符合本政策,請事先來信 security@swiftquantum.tech 詢問。
5. 我們的回應
SwiftQuantum 由一人營運。以下為我們努力達成的目標,屬努力義務而非保證:
| 階段 | 目標 |
|---|---|
| 確認收到通報 | 5 個工作天內(韓國時間) |
| 初步評估與嚴重度判定 | 15 個工作天內 |
| 修正期間的進度更新 | 至少每 30 天 一次 |
| 已確認之重大/高嚴重度問題的修正 | 儘速處理,並告知預計日期 |
我們會持續告知進度、於修正完成時通知您,並在公開致謝列名前徵得您的同意。 請自通報日起給予最多 90 天 的修正期間後再行公開;若需要更長時間, 我們會說明原因並與您商定揭露日。
若通報內容顯示個人資料可能已外洩,我們將另依隱私政策及適用法律的外洩 通知程序處理,不受上述時程限制。
6. 無漏洞獎金
我們未設立漏洞獎勵計畫,不就漏洞通報支付任何報酬。經您同意,我們樂意在 修正後公開致謝。以付款作為揭露細節之條件者,不屬本政策所稱的善意通報。
7. 相關文件
8. 政策變更
本政策可能更新。每次更新時,上方的版本與最後更新日期都會變更;您提交 通報當日有效的版本,持續適用於該通報。
本政策以多種語言公布。各語言版本如有不一致,以英文版為準。