# Безопасность

> Как сообщить об уязвимости, что произойдёт дальше и как быстро. Вознаграждений нет — сказано прямо, а не оставлено на догадку.

- Page: https://granularity.tech/ru/legal/security
- Last reviewed: 2026-08-31

## Как сообщить

Напишите приватно на **[security@granularity.tech](mailto:security@granularity.tech)**.
Пожалуйста, не заводите публичную задачу об уязвимости — публичное сообщение остаётся
публичным эксплойтом ровно до выхода исправления.

Что полезно в сообщении: что затронуто и в какой версии, как воспроизвести, что получает
атакующий и как вас упомянуть. Черновое сообщение, присланное рано, лучше вылизанного,
присланного поздно.

Эта страница — политика, на которую ссылается
[`/.well-known/security.txt`](/.well-known/security.txt).

## Что будет дальше

| Шаг | Обязательство |
|---|---|
| Подтверждение получения | В течение 72 часов |
| Оценка серьёзности | Вместе с подтверждением или вскоре после |
| Исправление и выпуск | Вне очереди — исправления безопасности не ждут планового релиза |
| Бэкпорт | На предыдущий мажор, в течение срока его поддержки |
| Публикация | GitHub Security Advisory, с CVE там, где он применим |
| Упоминание | Ваше имя в публикации, если вы не против |

Исправления безопасности выходят вне очереди намеренно. Исправление, ждущее релизного
поезда, — это известная уязвимость с расписанием.

## Вознаграждений нет

Мы не платим за сообщения. Это сказано здесь, а не оставлено на выяснение, потому что
узнать об этом после проделанной работы хуже, чем до её начала.

## Границы

В границах: сайт `granularity.tech` и опубликованные пакеты `@feugene/granularity*`.

Вне границ: находки, требующие скомпрометированного устройства или браузера; отчёты
сканера без показанного воздействия; отсутствующие заголовки усиления без пути
эксплуатации; отказ в обслуживании против хостинга.

## Что этот сайт представляет собой с точки зрения безопасности

Статические файлы. Ни серверного кода, ни базы, ни аккаунтов, ни сессии, ни пользовательского
ввода, доходящего до сервера. О посетителях ничего не хранится — см.
[Приватность](/ru/legal/privacy) и [Cookie](/ru/legal/cookies).

Неинтересным его это не делает: цепочка поставок сборки, опубликованные пакеты и сам
домен имеют значение, и сообщения о них мы ждём.

## Пожалуйста, не надо

Проверять нагрузкой и отказом в обслуживании, добираться до чужих данных и что-либо
менять. Сообщите вместо этого — рассказ о том, что вы могли бы сделать, ровно так же
полезен и никому не вредит.