我们的承诺
保护客户的资金和数据是我们工作的核心。我们欢迎安全研究人员和客户报告在我们系统中发现的漏洞，并将与您一起了解并修复问题。本政策说明您可以测试的范围、如何安全地测试，以及如何报告您的发现。
适用范围
*.localpayment.com下的公开网站，包括 localpayment.com。- Localpayment API：生产环境（api.v3.localpayment.com）和 Stage 环境（api.stage.localpayment.com）。
- Business Portal（ui.v3.localpayment.com）。
请仅使用您获得授权的账户和凭证进行测试。如果您是 Localpayment 客户，请在您的 Stage 环境而非生产环境中测试。*.localpayment.com 的部分子域名由第三方服务商运营；如报告涉及此类子域名，我们将与相关服务商协调处理。
不在范围内
- 拒绝服务攻击、负载或压力测试，以及任何会降低他人服务质量的测试。
- 针对我们的员工、办公场所、客户或合作伙伴的社会工程、网络钓鱼或物理尝试。
- 由第三方运营的服务，例如银行、卡组织、本地支付通道或我们独立的道德举报渠道。相关问题请向服务提供方报告。
- 无法证明具有安全影响的发现，例如仅缺少安全响应头或 Cookie 属性、版本信息暴露、不涉及敏感操作页面的点击劫持、Self-XSS、注销 CSRF，或未经验证的自动化扫描结果。
- 没有可用漏洞利用证明的邮件配置报告（SPF、DKIM、DMARC）。
参与规则
- 禁止拒绝服务。 不得进行可能中断或降低我们服务质量的测试，自动化扫描须保持低频率。
- 禁止社会工程。 不得以网络钓鱼、冒充身份或任何其他方式针对员工、客户或合作伙伴。
- 禁止窃取数据。 仅访问证明问题所需的最少数据。不得下载、复制、保留、修改或删除数据。如接触到个人数据、持卡人数据或凭证，请立即停止并报告。
- 证明即止。 一旦确认漏洞，请立即停止。未经我们书面同意，不得提升权限、横向移动、建立持久化或串联其他攻击。
- 禁止真实交易。 切勿转移资金、发起真实的收款或付款，或操作不属于您的账户。
- 严格保密。 在我们修复问题并与您商定披露安排之前，请勿向任何人透露问题细节。
- 善意且合法。 不得以付款或任何其他要求作为提交报告的条件。
如何报告
请发送电子邮件至 cybersecurity@localpayment.com，邮件主题注明“漏洞报告”并附简短标题。我们接受英文、西班牙文和葡萄牙文报告。请包括：
- 受影响的资产：URL、API 端点、参数或 Business Portal 页面。
- 漏洞类型及其潜在影响。
- 复现问题的详细步骤。
- 概念验证（请求与响应、截图或简短视频），并对任何个人或敏感数据进行脱敏处理。
- 测试的日期和时间，以及您使用的 IP 地址，以便我们在日志中识别您的活动。
- 您的姓名或昵称、联系方式，以及是否希望获得致谢署名。
切勿在报告中包含真实的银行卡号、密码或他人的个人数据，请改用文字描述。
您可以期待什么
- 确认收到。 我们会及时确认收到您的报告。
- 评估。 我们的安全团队会验证问题、评估其严重程度，并可能向您了解更多细节。
- 进展通报。 我们会向您通报处理进展，并在问题解决后告知您。
- 修复。 我们根据问题对客户及其数据造成的风险确定修复优先级。
- 协调披露。 如果您计划公开发现，我们会在修复完成后与您商定公开时间。经您同意，我们很乐意对您的贡献表示感谢。
安全港
Localpayment 不会对本着善意、按照本政策发现并报告漏洞的研究人员采取法律行动。
机器可读的联系方式（security.txt）
我们的安全联系方式也按照 RFC 9116 以机器可读格式发布在 https://localpayment.com/.well-known/security.txt。
其他事项
- 疑似欺诈，或您的账户、交易出现问题：请联系 support@localpayment.com，全天候服务。
- 道德或不当行为问题：请使用我们独立的道德举报渠道。