Нашли уязвимость? Вот куда с ней

Conchshell держит ключи и пароли к чужим серверам. Дыра здесь — не неудобство, поэтому сообщение о ней стоит для нас больше, чем неловкость.

Куда писать

ПОЧТА

support@conchshell.app. По-русски или по-английски. Если находка такая, что почта для неё — неподходящее место, напишите об этом одной строкой, и договоримся иначе.

ШИФРОВАНИЕ

Если отправлять подробности открытым текстом не хочется, напишите об этом первым письмом, не содержащим ничего чувствительного, и мы договоримся о канале до того, как вы отправите главное.

Чего ждать

ОТВЕТ ЗА 3 ДНЯ

Хотя бы о том, что письмо получено и кто им занимается. Если три дня тишина — считайте, что письмо потерялось, и отправьте ещё раз.

ОЦЕНКУ ЗА 10 ДНЕЙ

Согласны ли мы, что это уязвимость, насколько серьёзной считаем и когда рассчитываем починить, — либо почему считаем, что это не уязвимость, достаточно подробно, чтобы с этим можно было спорить.

ИСПРАВЛЕНИЕ И ВАШЕ ИМЯ

Упоминание в описании релиза, под любым именем на ваш выбор, если только вы не попросите обратного. Денег нет: это проект одного человека, и делать вид, что иначе, было бы хуже, чем сказать прямо.

Что считается

В ОБЛАСТИ

Приложение в любой выпущенной сборке, этот сайт, эндпоинт обновлений и сам формат хранилища. Изъян в формате настолько же реален, как изъян в коде, который его реализует.

ВНЕ ОБЛАСТИ

Находки, которым нужен атакующий, уже выполняющий код от вашего имени: такой атакующий и так может всё, что можете вы, и приложение не делает вид, что это не так. Вывод сканера без разбора. Отсутствующие заголовки на странице, которой нечего защищать.

НЕ УВЕРЕНЫ?

Присылайте. Решать, что входит в область, — наша работа, а не барьер, который нужно взять, прежде чем вам позволят помочь.

Что мы обещаем вам

Если вы нашли что-то, действительно пытаясь сделать это безопаснее, мы не заявим на вас никуда, не пришлём юриста и не пойдём расспрашивать вашего работодателя. Это остаётся в силе, даже если вы что-то сломали по дороге, — при условии, что вы об этом скажете. И перестаёт действовать, если вы полезли в чужие данные, придержали находку ради оплаты или опубликовали до того, как у нас была честная возможность починить. Это запрет не на публикацию, а только на публикацию первым.

Разбирать выпущенную сборку для такого исследования — декомпилировать, дизассемблировать, смотреть, что она делает, — можно: это исключение из п. 5.2 Пользовательского соглашения. Оно распространяется на поиск изъяна и сообщение о нём, в том числе об изъяне в проверке лицензии, но не на то, чтобы пользоваться обходом проверки лицензии или передавать его другим. Это касается сборок, опубликованных на этом сайте; на копию из App Store вместо этого распространяются условия лицензии Apple — см. п. 1.6 Пользовательского соглашения.

Чего не делать

ЧУЖИЕ СЕРВЕРЫ

Проверяйте приложение на своих машинах. Оно подключается туда, куда его направят, и сообщение, в котором участвовал не ваш хост, мы принять не сможем. Исключение — этот сайт и эндпоинт обновлений: их проверять можно, если вы касаетесь только своих данных — своего заказа, своей лицензии — и не создаёте нагрузки, о которой говорит следующий пункт.

ЗАВАЛИВАТЬ ТРАФИКОМ

Нагрузочные тесты, отказ в обслуживании и массовая автоматика не говорят нам ничего полезного, зато кладут сайт для тех, кто пришёл скачать клиент.

ЛЮДИ

Никакого фишинга, никаких легенд, никаких обращений к участникам проекта от чужого имени.

Кому писать

Conchshell — не компания. Это проект одного человека, физического лица DeveloperEva, и support@conchshell.app ведёт к нему. Вопросы про этот сайт, про то, что он собирает, или про что угодно на этих страницах — этот адрес и есть весь список. Формальные документы — Пользовательское соглашение и Политика конфиденциальности; оба регулируются правом Российской Федерации.

Обновлено: 2026-09-24