พบปัญหาด้านความปลอดภัยใช่ไหม? บอกเรา แล้วนี่คือสิ่งที่จะเกิดขึ้นต่อไป

นโยบายนี้ครอบคลุมอะไรบ้าง

นโยบายนี้ครอบคลุมซอฟต์แวร์ที่ SecureEyes สร้างและบริการที่ SecureEyes ดูแล โดยใช้กับเวอร์ชันที่ยังรองรับในปัจจุบัน ได้แก่ แอปรุ่นปัจจุบันบน App Store, Hub รุ่นที่อยู่ในฟีดอัปเดต และบริการต่างๆ ตามที่ทำงานอยู่ในวันนี้ หากคุณพบปัญหาในเวอร์ชันเก่า โปรดตรวจสอบกับเวอร์ชันปัจจุบันก่อน หากปัญหายังอยู่ ให้รายงานมา

• แอป SecureEyes สำหรับ iPhone, iPad และ Mac ตามที่เผยแพร่บน App Store
• SecureEyes Hub: เดมอน sehub ตัวช่วยที่ทำงานด้วยสิทธิ์ระดับสูง หน้าเว็บผู้ดูแล และตัวติดตั้ง Hub ที่ get.secureeyes.app
• รีเลย์ที่ relay.secureeyes.app และเซิร์ฟเวอร์ใบอนุญาตที่ license.secureeyes.app
• เว็บไซต์นี้ secureeyes.app และฟีดอัปเดตของ Hub ที่ updates.secureeyes.app

วิธีรายงาน

อีเมลคือช่องทางเดียว และอีเมลจะถึงมือคน ไม่ใช่คิวงาน อย่ารายงานช่องโหว่ผ่านรีวิวใน App Store โซเชียลมีเดีย หรือรายงานปัญหาแบบสาธารณะ เพราะผู้โจมตีจะอ่านเจอก่อนเรา

1. 01เขียนถึง security@secureeyes.app อีเมลธรรมดาก็ใช้ได้ หากคุณต้องการเข้ารหัส ให้แจ้งในข้อความแรก แล้วเราจะจัดเตรียมคีย์ร่วมกับคุณ ขณะนี้เรายังไม่ได้เผยแพร่คีย์ PGP และไม่บังคับให้เข้ารหัสเลย
2. 02ระบุผลิตภัณฑ์และเวอร์ชัน: เวอร์ชันและบิลด์ของแอป (การตั้งค่า > เกี่ยวกับ) เวอร์ชันของ Hub (หน้าผู้ดูแล หรือ system/health) หรือบริการและเวลาที่คุณพบปัญหา
3. 03อธิบายสิ่งที่คุณทำและสิ่งที่คุณเห็นทีละขั้นตอน เพื่อให้เราทำซ้ำได้ โค้ดพิสูจน์แนวคิด (proof of concept) คำขอและการตอบกลับ หรือภาพหน้าจอจะช่วยได้ โปรดปิดบังรหัสผ่านกล้องหรือวิดีโอก่อนส่ง
4. 04บอกว่าคุณคิดว่าผู้โจมตีทำอะไรได้บ้างด้วยช่องโหว่นี้ และคุณเห็นสัญญาณใดหรือไม่ว่ามีการใช้ประโยชน์จากช่องโหว่นี้อยู่แล้ว ข้อมูลบรรทัดเดียวนี้เปลี่ยนความเร็วในการดำเนินการของเรา
5. 05บอกวิธีติดต่อคุณ และบอกว่าคุณต้องการให้ระบุชื่อเพื่อให้เครดิตเมื่อเผยแพร่การแก้ไขหรือไม่

เราไม่มีโปรแกรมให้รางวัลการค้นพบช่องโหว่ เราไม่จ่ายเงินสำหรับรายงาน และเราขอบอกตรงๆ แทนที่จะปล่อยให้คุณคาดหวังเป็นอย่างอื่น สิ่งที่เราทำคือแก้ไขสิ่งที่คุณพบ แจ้งคุณเมื่อแก้ไขแล้ว และให้เครดิตคุณหากคุณต้องการ

สิ่งที่คาดหวังได้จากเรา

1. 01การตอบรับภายใน 3 วันทำการนับจากอีเมลของคุณ จากคนจริง พร้อมหมายเลขอ้างอิงที่คุณใช้อ้างถึงได้
2. 02การประเมินเบื้องต้นภายใน 10 วันทำการ: เราทำซ้ำปัญหาได้หรือไม่ เราคิดว่าร้ายแรงเพียงใด และเราวางแผนจะทำอะไร
3. 03ข้อมูลอัปเดตระหว่างการแก้ไข และข้อความแจ้งเมื่อการแก้ไขเผยแพร่แล้ว หากเราต้องใช้เวลานานกว่าที่วางแผนไว้ เราจะแจ้งก่อนถึงวันกำหนด ไม่ใช่หลังจากนั้น
4. 04การเปิดเผยที่ประสานงานกับคุณ ระยะเวลาเริ่มต้นคือ 90 วันนับจากที่คุณรายงาน เราจะเผยแพร่เร็วกว่านั้นเมื่อการแก้ไขเผยแพร่แล้วและผู้ใช้มีเวลาอัปเดต และเราอาจขอเวลานานกว่านั้นเมื่อการแก้ไขต้องผ่านรอบการเผยแพร่บน App Store หรือฟีดของ Hub เราจะไม่เลย 90 วันโดยไม่บอกเหตุผลแก่คุณ
5. 05เครดิต หากคุณต้องการ ในประกาศที่เผยแพร่เกี่ยวกับการแก้ไข หากคุณไม่ต้องการให้ระบุชื่อ เราจะไม่ระบุชื่อคุณ

รายงานที่ส่งมายังที่อยู่นี้ SecureEyes เป็นผู้อ่านและดำเนินการ เราอาจแชร์เนื้อหาทางเทคนิคของรายงานกับฝ่ายที่โค้ดหรือบริการของฝ่ายนั้นเกี่ยวข้อง เช่น ผู้ผลิตกล้อง เพื่อให้มีการแก้ไข เราจะไม่แชร์ตัวตนของคุณโดยไม่ถามคุณก่อน

ความคุ้มครองสำหรับการวิจัยโดยสุจริต

เราอยากรับฟังจากผู้ที่ลงมือตรวจสอบ หากคุณวิจัย SecureEyes โดยสุจริต ปฏิบัติตามกฎในหัวข้อถัดไป และรายงานสิ่งที่คุณพบให้เรา เราจะไม่ดำเนินคดีทางกฎหมายกับคุณสำหรับการวิจัยนั้น และจะไม่ส่งเรื่องให้หน่วยงานบังคับใช้กฎหมาย หากบุคคลที่สาม เช่น ผู้ผลิตกล้องหรือผู้ให้บริการโฮสติ้ง เริ่มดำเนินคดีกับคุณสำหรับการวิจัยที่ปฏิบัติตามกฎเหล่านี้ เราจะแถลงต่อสาธารณะว่าการวิจัยของคุณได้รับอนุญาตภายใต้นโยบายนี้

โดยสุจริตหมายความว่า คุณพยายามหลีกเลี่ยงความเสียหาย คุณไม่ได้นำสิ่งใดไปเกินกว่าที่จำเป็นเพื่อแสดงปัญหา คุณเก็บสิ่งที่พบไว้เป็นความลับจนถึงการเปิดเผยที่เราตกลงกัน และคุณไม่ได้นำไปใช้เพื่อการอื่นใด นโยบายนี้ไม่ใช่ใบอนุญาตให้ฝ่าฝืนกฎหมายใดๆ และเราไม่สามารถอนุญาตให้เข้าถึงระบบที่ไม่ใช่ของเราได้

กฎ

การวิจัยที่ปฏิบัติตามกฎเหล่านี้ได้รับความคุ้มครองตามข้างต้น การวิจัยที่ไม่ปฏิบัติตามจะไม่ได้รับความคุ้มครอง

• ทดสอบเฉพาะกับอุปกรณ์ กล้อง Hub และบัญชีที่คุณเป็นเจ้าของหรือได้รับอนุญาตอย่างชัดแจ้งให้ใช้ และกับเว็บไซต์สาธารณะเท่านั้น การทดสอบรีเลย์หรือเซิร์ฟเวอร์ใบอนุญาตต้องใช้ Hub ของคุณเองและใบอนุญาตของคุณเอง
• ห้ามเข้าถึง ดู บันทึก หรือเก็บกล้อง วิดีโอ ภาพนิ่ง เหตุการณ์ หรือข้อมูลลงชื่อเข้าใช้ของผู้อื่นโดยเด็ดขาด หากช่องโหว่จะทำให้คุณทำเช่นนั้นได้ ให้หยุดที่การพิสูจน์ว่าทำได้ แล้วรายงาน อย่าสาธิตบนกล้องของผู้อื่น
• ห้ามโจมตีแบบปฏิเสธการให้บริการ (denial of service) อย่าส่งคำขอจำนวนมหาศาลไปยังรีเลย์ เซิร์ฟเวอร์ใบอนุญาต ฟีดอัปเดต หรือเว็บไซต์ และอย่าทดสอบว่ารับโหลดได้มากเพียงใด
• ห้ามใช้วิศวกรรมสังคมกับ SecureEyes ผู้ให้บริการโฮสติ้งของ SecureEyes หรือผู้ใช้อื่น ห้ามฟิชชิง ห้ามโทรศัพท์แอบอ้าง และห้ามพยายามเข้าถึงทางกายภาพ
• ทันทีที่คุณเข้าถึงข้อมูลส่วนบุคคลที่ไม่ใช่ของคุณ รวมถึงวิดีโอ ให้หยุด ไม่เก็บสำเนา และรายงาน ระบุในรายงานว่าคุณเห็นอะไรและได้ลบทิ้งแล้ว
• อย่าเปลี่ยนแปลง ลบ หรือฝังสิ่งใดบนระบบที่คุณไม่ได้เป็นเจ้าของ โค้ดพิสูจน์แนวคิดมีไว้อ่าน ไม่ใช่เขียน
• เก็บสิ่งที่คุณพบไว้ระหว่างคุณกับเราจนถึงวันเปิดเผยที่เราตกลงกัน อย่าขาย อย่าเผยแพร่ก่อนกำหนด หรือส่งต่อให้บุคคลที่สาม และอย่าใช้เพื่อเรียกร้องสิ่งใด

นอกขอบเขต

เราแก้ไขสิ่งเหล่านี้ไม่ได้ และรายงานเกี่ยวกับสิ่งเหล่านี้ควรส่งไปยังฝ่ายที่แก้ไขได้ หากเรารู้ว่าเป็นใคร เราจะบอกคุณ

• เฟิร์มแวร์ของกล้อง รวมถึงแอปและคลาวด์ของผู้ผลิตกล้องเอง SecureEyes สื่อสารกับกล้องผ่าน ONVIF, RTSP และอินเทอร์เฟซ HTTP ของผู้ผลิต ข้อบกพร่องในซอฟต์แวร์ของกล้องเองเป็นหน้าที่ของผู้ผลิตที่จะแก้ไข โปรดรายงานไปยังผู้ผลิต หลายรายมีหน้าด้านความปลอดภัยของตนเอง
• App Store, StoreKit, iCloud, พวงกุญแจ iCloud และระบบอื่นๆ ของ Apple โปรดรายงานไปยัง Apple
• Amazon Web Services และผู้ให้บริการโฮสติ้งและเครือข่ายอื่นๆ ที่อยู่เบื้องหลังเซิร์ฟเวอร์ของเรา โปรดรายงานไปยังผู้ให้บริการนั้น
• รายงานที่เพียงยกผลลัพธ์จากเครื่องมือสแกน เฮดเดอร์ความปลอดภัยที่ขาดหายบนหน้าเว็บแบบสแตติก หรือหมายเลขเวอร์ชันซอฟต์แวร์ โดยไม่มีวิธีใช้ประโยชน์จากช่องโหว่
• กล้องหรือเครือข่ายที่เจ้าของกำหนดค่าไม่ถูกต้อง เช่น กล้องที่ยังใช้รหัสผ่านเริ่มต้น ซึ่ง SecureEyes เตือนได้แต่เปลี่ยนแปลงไม่ได้

หากคุณไม่แน่ใจว่าสิ่งใดอยู่ในขอบเขตหรือไม่ ส่งมาได้เลย เราขออ่านรายงานที่สุดท้ายกลายเป็นเรื่องของผู้อื่น ดีกว่าพลาดรายงานที่เป็นเรื่องของเรา

กฎหมาย Cyber Resilience Act ของสหภาพยุโรป

SecureEyes ทั้งแอปและ Hub เป็นผลิตภัณฑ์ที่มีองค์ประกอบดิจิทัลซึ่งจำหน่ายในสหภาพยุโรป และ Cyber Resilience Act (ระเบียบ (EU) 2024/2847) ใช้บังคับกับผลิตภัณฑ์นี้ ข้อความนี้เป็นคำชี้แจงถึงสิ่งที่เราทำภายใต้กฎหมายนี้ ไม่ใช่คำแนะนำทางกฎหมาย

เมื่อเราทราบถึงช่องโหว่ใน SecureEyes ที่กำลังถูกใช้ประโยชน์อย่างจริงจัง หรือเหตุการณ์ร้ายแรงที่กระทบต่อความปลอดภัยของ SecureEyes เราจะรายงานผ่านแพลตฟอร์มการรายงานเดียวของ ENISA ไปยังหน่วยงานที่กฎหมายนี้กำหนด ตามกรอบเวลาของกฎหมาย ได้แก่ การแจ้งเตือนล่วงหน้าภายใน 24 ชั่วโมงนับจากที่ทราบ การแจ้งภายใน 72 ชั่วโมงพร้อมข้อมูลเท่าที่ทราบในขณะนั้นเกี่ยวกับช่องโหว่และมาตรการที่ดำเนินการ และรายงานฉบับสุดท้ายภายใน 14 วันนับจากที่มีการแก้ไขหรือมาตรการบรรเทา (ภายในหนึ่งเดือนนับจากการแจ้งสำหรับเหตุการณ์ร้ายแรง)

เราแจ้งผู้ใช้ที่ได้รับผลกระทบโดยไม่ชักช้าเกินสมควร บนเว็บไซต์นี้ ในบันทึกประจำรุ่นของแอปบน App Store และในบันทึกประจำรุ่นของ Hub บนหน้าดาวน์โหลด โดยระบุว่าปัญหาคืออะไร กระทบเวอร์ชันใด และควรทำอย่างไร SecureEyes ไม่มีบัญชีผู้ใช้และไม่มีรายชื่ออีเมล จึงไม่มีข้อความใดที่เราส่งถึงคุณโดยตรงได้ หน้านี้และบันทึกประจำรุ่นคือช่องทางที่เราใช้แจ้งข่าว

ระยะเวลาการสนับสนุน

การแก้ไขด้านความปลอดภัยมีให้สำหรับแอป SecureEyes และ SecureEyes Hub เป็นเวลาห้าปีนับจากวันที่เผยแพร่แต่ละรุ่น การแก้ไขจะมาเป็นเวอร์ชันใหม่ ได้แก่ การอัปเดตแอปบน App Store และการอัปเดต Hub บนฟีดที่ลงนามแล้ว ซึ่ง Hub และแอปจะเสนอให้เมื่อมีการเผยแพร่ ภายในระยะเวลาการสนับสนุน วิธีรับการแก้ไขด้านความปลอดภัยคือการอัปเดตแอปและ Hub อยู่เสมอ เวอร์ชันที่เก่ากว่าเวอร์ชันปัจจุบันจะไม่ได้รับการแพตช์ในตัว

รีเลย์ เซิร์ฟเวอร์ใบอนุญาต และเว็บไซต์นี้เป็นบริการ ไม่ใช่ซอฟต์แวร์ที่จัดส่ง และได้รับการดูแลตราบเท่าที่ยังให้บริการอยู่

การเปลี่ยนแปลงนโยบายนี้

นโยบายนี้ลงวันที่ 22 ตุลาคม 2026 การเปลี่ยนแปลงในสิ่งที่เราสัญญา ที่อยู่ หรือขอบเขต จะปรากฏที่นี่พร้อมวันที่ใหม่ ไฟล์ข้อมูลติดต่อที่เครื่องอ่านได้ที่ secureeyes.app/.well-known/security.txt ระบุหน้านี้เป็นนโยบาย และมีวันหมดอายุของตัวเอง ซึ่งเราต่ออายุทุกปี

ติดต่อ

รายงานด้านความปลอดภัยส่งไปที่ security@secureeyes.app เรื่องอื่นๆ เกี่ยวกับ SecureEyes ส่งไปที่ support@secureeyes.app