Security · Bug Bounty

Программа Bug Bounty

OGFlow VPN — open source проект, и наша безопасность зависит от внимательных глаз сообщества. Если вы нашли уязвимость в нашем коде, инфраструктуре или приложениях — сообщите нам, и получите денежное вознаграждение.

Программа работает по принципу responsible disclosure: вы не публикуете деталь до фикса, мы не подаём в суд и не игнорируем. Win-win.

Scope (что в зоне)

🔌

API & Backend

api.ogflow.vpn, subscription endpoints, auth flow, payment hooks

🌐

Infrastructure

VPN серверы, Xray/AWG конфиги, SSH доступ, БД доступ

📱

Mobile Apps

Android APK, будущий iOS, telemetry leaks, сертификат-пиннинг

Также принимаем

Web app vulnerabilities (XSS, CSRF, SQLi на ogflow.vpn)
Логические баги в подписках и счётчиках устройств
Утечки приватных данных (даже мелкие)
Bypass обхода DPI / детекторов
Криптографические слабости в протоколах (Reality, AWG)
Supply-chain атаки (compromised deps в build pipeline)

Out of scope (НЕ принимаем)

DDoS / brute-force без proof of impact
Отчёты от автоматических сканеров без верификации
Self-XSS требующий доступ к чужой машине
Социальная инженерия команды или клиентов
Уязвимости в сторонних сервисах (Telegram, GitHub, CDN)
Best-practice issues без proof of exploit

Награды

Размер выплаты зависит от severity (CVSS 3.1) и реального impact. Final score определяет команда после triage.

Severity	Reward	Примеры
Critical	$1,000–$2,000	RCE на VPN сервере, дамп всех подписок, leak privatekey пользователей
High	$500–$1,000	Auth bypass, доступ к чужому аккаунту, утечка traffic logs
Medium	$200–$500	Stored XSS, IDOR, утечка metadata устройств
Low	$50–$200	Reflected XSS, CSRF без impact, missing headers

Бонусы

+50% за качественный writeup с PoC и mitigation
+100% за novel research / новый класс уязвимостей
Hall of Fame на нашем GitHub + публичный shoutout (по желанию)
Lifetime подписка OGFlow Pro для researcher'ов с 3+ valid отчётами

Responsible Disclosure — процесс

Найдите баг Тестируйте только на своих аккаунтах и устройствах. Не атакуйте чужих пользователей.
Напишите письмо Email на security@ogflow.vpn с темой [BUG]. Прикрепите: описание, шаги воспроизведения, PoC, impact assessment.
Получите ack за 24 часа Мы подтверждаем получение в течение 1 рабочего дня. SLA на triage — 72 часа.
Дайте нам время на фикс Critical/High — 7 дней. Medium — 30 дней. Low — 90 дней. Не публикуйте detail до фикса.
Получите деньги Выплата через USDT, Telegram Stars или банковский перевод (ваш выбор) в течение 14 дней после подтверждения.
Public disclosure После фикса — coordinated disclosure: вы публикуете writeup, мы делаем shoutout, CVE если нужно.

Наши обязательства

Не подаём в суд за добросовестное тестирование в рамках scope
Не передаём информацию о researcher'ах третьим лицам
Открыто публикуем фиксы в GitHub после раскрытия
Указываем researcher'а в release notes (если он не против)
Платим в срок — наш репутация на этом

Сломал? Получи денег