Яндекс может использовать сторонние внешние сервисы и партнёрские программные продукты. Их можно встретить как во внутренней инфраструктуре, так и в сервисах для пользователей.

Пожалуйста, внимательно ознакомьтесь с особенностями поиска уязвимостей в подобном ПО.

• Под сторонним сервисом подразумеваются домены и хосты, расположенные на IP/AS, не принадлежащих Яндексу.

• Запрещено активное тестирование (сканирование, фаззинг и т.д.) сторонних ресурсов и сервисов. Исключение — если это явно разрешено в Bug Bounty политике вендора или партнёра.

• Если у вендора есть программа Bug Bounty или Security-контакт, в первую очередь необходимо сообщить о найденной уязвимости именно команде безопасности вендора.

• Мы можем попросить подтвердить, что вы связались с вендором (например, предоставить фрагмент скриншота письма).

• Вопрос о денежном вознаграждении рассматривается индивидуально командой безопасности Яндекса. Вы можете рассчитывать на награду от вендора, если он имеет собственную программу Bug Bounty

• Яндекс не может повлиять на сроки анализа, характер исправления и решение о вознаграждения со стороны вендора.

• Размер определяется в каждом конкретном случае — в зависимости от типа интеграции, вида и объёма обрабатываемых данных. Ориентировочный диапазон: 5 337 – 317 337 ₽.

• Яндекс оставляет за собой право отказать в награде, если исследование проводилось с нарушением политики, либо если ошибка не влияет на безопасность сервисов Яндекса или пользовательских данных.