发现了安全问题？请告诉我们，下面是接下来会发生的事。

本政策的适用范围

本政策适用于 SecureEyes 开发的软件和 SecureEyes 运营的服务。它适用于当前受支持的版本：App Store 上当前发布的 App 版本、更新源上的 Hub 版本，以及当前运行的服务。如果你在旧版本中发现问题，请先在当前版本中检查；如果问题仍然存在，请报告。

• 在 App Store 上发布的适用于 iPhone、iPad 和 Mac 的 SecureEyes App。
• SecureEyes Hub：sehub 守护进程、它的提权辅助程序、它的管理网页，以及位于 get.secureeyes.app 的 Hub 安装程序。
• 位于 relay.secureeyes.app 的中继和位于 license.secureeyes.app 的许可证服务器。
• 本网站 secureeyes.app，以及位于 updates.secureeyes.app 的 Hub 更新源。

如何报告

电子邮件是唯一的渠道，它会送到一个人手里，而不是进入一个队列。不要通过 App Store 评论、社交媒体或公开的 issue 报告漏洞，在那些地方，攻击者会比我们先看到。

1. 01发送邮件至 security@secureeyes.app。普通邮件即可。如果你希望加密，请在第一封邮件中说明，我们会与你商定密钥；我们目前尚未公开 PGP 密钥，加密从来不是必需的。
2. 02说明是哪个产品、哪个版本：App 的版本和构建号（“设置”>“关于”）、Hub 的版本（它的管理页面，或 system/health），或者是哪项服务以及你发现问题的时间。
3. 03一步步描述你做了什么、看到了什么，以便我们复现。概念验证、请求和响应或者截图都会有帮助。发送前请隐去任何摄像头密码或录像。
4. 04说明你认为攻击者可以利用它做什么，以及你是否发现任何它已经被利用的迹象。这一句话会改变我们的处理速度。
5. 05告诉我们如何联系你，以及发布修复时你是否希望我们署名致谢。

我们没有漏洞赏金。我们不为报告付费，并且宁愿直说，也不让你抱有别的期待。我们会修复你发现的问题，在修复后告诉你，并在你愿意时向你致谢。

你可以期待我们做什么

1. 01在收到你的邮件后 3 个工作日内，由专人确认收到，并附上一个你可以引用的参考编号。
2. 02在 10 个工作日内给出初步评估：我们能否复现、我们认为它有多严重，以及我们打算怎么做。
3. 03随修复进展向你更新情况，并在修复发布时通知你。如果需要比计划更长的时间，我们会在日期到来之前告诉你，而不是之后。
4. 04与你协调披露。默认期限是从你报告起 90 天。如果修复已经发布且用户已有时间更新，我们会提前公开；如果修复需要经过 App Store 或 Hub 更新源的一个发布周期，我们可能会请求延长；我们不会在不说明原因的情况下超过 90 天。
5. 05如果你愿意，我们会在关于该修复的公开说明中向你致谢。如果你不希望被提及姓名，我们就不会提及。

发送到此地址的报告由 SecureEyes 阅读和处理。为了修复问题，我们可能会与代码或服务涉及其中的一方（例如摄像头厂商）分享报告的技术内容；未经询问你，我们不会分享你的身份。

善意研究的安全港

我们希望听到愿意深入查看的人的声音。如果你出于善意研究 SecureEyes，遵守下一节中的规则，并把你的发现报告给我们，我们不会因这项研究对你采取法律行动，也不会将其移交执法机构。如果第三方（例如摄像头厂商或托管服务提供商）因遵守这些规则的研究对你提起法律诉讼，我们将公开声明你的研究是根据本政策获得授权的。

善意是指：你尽力避免造成损害，你获取的内容没有超出证明问题所需的范围，在我们商定的披露之前你对发现保密，并且你没有将其用于任何其他目的。本政策并不允许你违反任何法律，我们也无法授权访问不属于我们的系统。

规则

遵守这些规则的研究受上述安全港保护。不遵守的研究则不受保护。

• 只针对你拥有或已获明确许可使用的设备、摄像头、Hub 和账户进行测试，以及针对公开网站进行测试。对中继或许可证服务器的测试必须使用你自己的 Hub 和你自己的许可证。
• 绝不访问、查看、录制或保留他人的摄像头、录像、快照、事件或凭证。如果某个缺陷会让你做到这一点，请在证明它能做到时就停止，并报告。不要在其他任何人的摄像头上演示。
• 不得进行拒绝服务攻击。不要向中继、许可证服务器、更新源或网站发送大量流量，也不要测试它们能承受多大负载。
• 不得对 SecureEyes、其托管服务提供商或其他用户进行社会工程。不得进行网络钓鱼、以虚假借口拨打电话或尝试物理闯入。
• 一旦你接触到不属于你的个人数据（包括录像），请立即停止，不保留任何副本，并报告。在报告中说明你看到了什么，以及你已将其删除。
• 不要在不属于你的系统上更改、删除或植入任何东西。概念验证只读取，不写入。
• 在我们商定的披露日期之前，你的发现只在你和我们之间保留。不要出售、提前公开或交给第三方，也不要利用它索取任何东西。

不在范围内

这些问题我们无法修复，相关报告应交给能够修复的一方。如果我们知道是谁，我们会告诉你。

• 摄像头固件以及摄像头厂商自己的 App 和云服务。SecureEyes 通过 ONVIF、RTSP 和厂商的 HTTP 接口与摄像头通信；摄像头自身软件中的缺陷需要由厂商修复。请向厂商报告；许多厂商都有自己的安全页面。
• App Store、StoreKit、iCloud、iCloud 钥匙串和其他 Apple 系统。请向 Apple 报告这些问题。
• Amazon Web Services 以及我们服务器所依托的其他托管和网络服务提供商。请向相应的提供商报告。
• 仅引用扫描工具输出、静态页面缺少某个安全标头，或只给出软件版本号而没有利用方法的报告。
• 被所有者错误配置的摄像头或网络，例如仍使用默认密码的摄像头，SecureEyes 可以对此发出警告，但无法更改。

如果你不确定某个问题是否在范围内，也请照样发送。我们宁愿读到一份最后发现属于别人的报告，也不愿错过一份属于我们的报告。

欧盟《网络韧性法案》

SecureEyes（App 和 Hub）是在欧盟销售的带有数字元素的产品，适用《网络韧性法案》（法规 (EU) 2024/2847）。这是对我们根据该法案所做之事的说明，并非法律建议。

当我们获悉 SecureEyes 中存在正被积极利用的漏洞，或获悉影响 SecureEyes 安全的严重事件时，我们会按照该法案规定的时间表，通过 ENISA 的单一报告平台向该法案指定的主管机构报告：在获悉后 24 小时内发出早期预警，在 72 小时内提交通知，说明当时已知的漏洞情况和已采取的措施，并在修复或缓解措施可用后 14 天内提交最终报告（对于严重事件，则在通知后一个月内）。

我们会无不当延迟地通知受影响的用户：在本网站、App Store 上 App 的版本说明以及下载页面上 Hub 的版本说明中，说明问题是什么、影响哪些版本以及应该怎么做。SecureEyes 不保留用户账户，也没有邮件列表，因此我们无法直接给你发送消息；本页面和版本说明就是我们发布消息的地方。

支持期限

SecureEyes App 和 SecureEyes Hub 的安全修复自每个版本发布之日起提供五年。修复以新版本的形式发布：App 通过 App Store 更新，Hub 通过签名的更新源更新，更新发布后 Hub 和 App 会提供该更新。在支持期限内，获得安全修复的方式是保持 App 和 Hub 为最新版本；比当前版本旧的版本不会在原版本上打补丁。

中继、许可证服务器和本网站是服务，而不是发布的软件，只要它们仍在运行，就会持续维护。

本政策的变更

本政策的日期为 2026 年 10 月 22 日。如果我们的承诺、地址或范围发生变化，变更将连同新的日期显示在这里。位于 secureeyes.app/.well-known/security.txt 的机器可读联系文件将本页面列为其政策，并带有自己的到期日期，我们每年更新一次该日期。

联系我们

安全报告请发送至 security@secureeyes.app。关于 SecureEyes 的其他事项请发送至 support@secureeyes.app。