# Rules for us

- We respect the time and effort of researchers;
- We respond within 5 business days;
- We process reports within 10 business days after initial response;
- We may extend processing times, but you will be informed about any delays;
- We determine the reward amount within 10 business days after processing;
- We do our best to keep you updated on our progress throughout the review.

# Rules for you

- Be an ethical hacker and respect the privacy of other users;
- Avoid privacy violations, data destruction, and any disruption or harm of any of our services;
- When testing web resources and APIs, use proper User-Agent HTTP headers and add an `"X_Bug_Bounty: your_username"` cookie parameter, this will help to prevent potential blocking of anomalous activity;
- When testing hh.ru, use the "Standoff" as your account's last name during account registration to avoid potential account suspension;
- Automated scanning tools must be limited to 30 rps per target host, combining all tools and parallel threads;
- Review all program rules before starting your research;
- Present vulnerability information clearly and efficiently;
- Notify and coordinate vulnerabilities that may affect other service users via bugbounty@hh.ru email. After testing, remain available for 2 hours in case of a security incident.

# Scope

- hh.ru  
- api.hh.ru
- dev.hh.ru
- talantix.ru

## Setka
- setka.ru
- api.setka.ru

Be aware ! We recommend testing the Setka API through the mobile applications (vulnerabilities in the apps themselves are out of scope):
- Setka on RuStore: [https://www.rustore.ru/catalog/app/ru.setka](https://www.rustore.ru/catalog/app/ru.setka)
- Setka on Google Play: [https://play.google.com/store/apps/details?id=com.setka&hl=ru](https://play.google.com/store/apps/details?id=com.setka&hl=ru)
- Setka on App Store: https://apps.apple.com/ru/app/сетка-соцсеть-для-нетворкинга/id1641109721

# Vulnerability Rewards

| Severity Level |Reward |
|----------------|--------|
| Critical | 250,000 – 500,000 ₽ | 
| High | 80,000 – 250,000 ₽ | 
| Medium | 30,000 – 80,000 ₽ | 
| Low | 0 – 30,000 ₽ | 



# hh.ru Does Not Pay Rewards For:

- Security scanner reports and other automated tool outputs;
- Information about IP addresses, DNS records, and open ports;
- Issues and vulnerabilities based on product version without demonstrating exploitation;
- Vulnerabilities blocked by security tools without demonstrating bypass (e.g., WAF);
- Reports on insecure SSL/TLS ciphers without demonstrating exploitation;
- Vulnerabilities previously reported by other participants (duplicate reports);
- 0-day and 1-day vulnerabilities publicly disclosed less than 30 days ago, and vulnerabilities with CVSS above 8 disclosed less than 14 days ago;
- Self-XSS and other vulnerabilities that don't directly impact users or application data;
- Vulnerabilities requiring browser versions released 6+ months prior to report submission (or no longer supported);
- CORS misconfiguration without demonstrating exploitation;
- Disclosure of username, email, or phone number existence in the system;
- Disclosure of technical or non-sensitive information (e.g., product version, software used, stack traces);
- Tabnabbing;
- Clickjacking;
- CSP-related reports for domains without CSP or domain policies with unsafe-eval and/or unsafe-inline;
- Attacks requiring full access to a local account, browser profile or physical device;
- Disclosure of user confidential information through external resources not controlled by hh.ru, such as for example spyware data;
- Vulnerabilities requiring complex or unlikely user interaction scenarios;
- Missing best practices in DNS and mail service configuration (DKIM/DMARC/SPF/TXT);
- Broken links to social media pages or unclaimed social media links and similar pages;
- Ability to perform actions, which are unavailable through the UI without identified security risks;
- Ability to create user accounts without restrictions;
- User enumeration;
- Disclosure of public user information;
- Missing notifications for important user actions;
- Leakage of sensitive tokens (e.g., password reset tokens) to trusted third parties over secure connections (HTTPS);
- Reports related to hh.ru mobile application security;
- Issues unrelated to security (for non-security issues, contact technical support at https://feedback.hh.ru/ticket/add);
- Missing rate limits that don't affect business processes;
- Spam;
- Race conditions that don't impact business processes.

Missing security mechanisms or best practices without demonstrating real impact on user or system security are accepted as "Informative". For example security HTTP headers (CSP, HSTS, etc.), cookie security flags (HttpOnly, Secure, etc.), CSRF protection, SSL certificates.

## Participant Requirements

1. All interested researchers aged 18 and above may participate in the program.
2. Researchers aged 14 to 18 may participate only with written consent from a parent or legal guardian.
3. hh.ru employees and their family members are not eligible to participate.

## hh.ru Obligations

hh.ru commits to:

1. Prioritize security tasks and promptly address discovered vulnerabilities.
2. Respect researchers and not obstruct report disclosure without clear justification.
3. Not make unfounded accusations against researchers related to program participation.

## Public Vulnerability Disclosure

Public disclosure is done by mutual agreement. hh.ru commits to open communication with researchers regarding disclosure timelines. Both parties may agree on when report contents will be made public.

## Prohibited Actions
Researchers are prohibited from:
- Accessing, modifying, destroying, or disclosing another user's data without their consent, including any confidential information accidentally obtained during vulnerability research or demonstration. Intentional access to such information is prohibited and may be considered illegal;
- Affecting other users' accounts without their permission;
- Using discovered vulnerabilities for personal gain;
- Using vulnerability testing tools that automatically generate significant traffic volumes leading to resource exhaustion attacks;
- Conducting attacks that harm service integrity and availability (e.g., DoS attacks, brute-force attacks), or attempting to exploit vulnerabilities aimed at resource exhaustion. Report such issues to the hh.ru security team, who will conduct testing in a test environment;
- Conducting physical attacks on personnel, data centers, and company offices;
- Conducting attacks on hh.ru systems using social engineering techniques (phishing, vishing, etc.) and spam campaigns targeting clients, partners, and employees;
- Investigating server infrastructure where is hosted our web applications;
- Disclosing vulnerability information before public disclosure by hh.ru.

If you discover multiple security issues while researching hh.ru services, prepare separate reports for each identified vulnerability.

## RCE Testing Policy

Testing vulnerabilities that may lead to remote code execution must follow these rules:
During testing, all server actions are prohibited except:
- Executing commands: ifconfig (ipconfig), hostname, whoami, id;
- Reading contents of /etc/passwd and /proc/sys/kernel/hostname (drive:/boot.ini, drive:/install.ini);
- Creating an empty file in the current user's directory.

Any other actions require prior approval from our security specialists.

## SQL Injection Testing Policy

Testing vulnerabilities that may lead to SQL command injection must follow these rules:
During testing, all server actions are prohibited except:
- Retrieving current database information (SELECT database()), its version (SELECT @@version), current user (SELECT user(), SELECT system_user()), or hostname (SELECT @@hostname);
- Retrieving database schema (SELECT table_schema), table list (SELECT table_name), and column names (SELECT column_name);
- Executing mathematical, conversion, or logical queries (including SLEEP) without extracting data (except those listed above).

Any other actions require prior approval from our security specialists.

## File Upload and Read Policy

Testing vulnerabilities that may lead to arbitrary file reading on the server or arbitrary file upload must follow these rules:

Prohibited actions for file uploads:
- Modifying, deleting, or replacing any files on the server (including system files), except those associated with your account or an account whose owner has explicitly consented;
- Uploading files that may cause denial of service (e.g., large files);
- Uploading malicious files (e.g., malware or spyware).

When gaining arbitrary file read access, all actions are prohibited except reading files such as /etc/passwd and /proc/sys/kernel/hostname (drive:/boot.ini, drive:/install.ini). Any other actions require prior approval from our security specialists.

## Report Requirements

One report should describe one vulnerability. However, exceptions exist when vulnerabilities are related or can be combined into a chain.

Failure to meet minimum report requirements may result in reduced rewards or even up to "denial of payment" if insufficient data is provided for verification.

### Required Report Contents:
- Vulnerability description;
- Type of vulnerability discovered;
- CVE (if applicable);
- CVSS severity analysis;
- Detailed reproduction steps (with request examples);
- Vulnerable application URL;
- Assessment of potential damage and risks to the company and its systems;
- Remediation recommendations;
- POC: screenshots, video, code snippets, request examples (for screenshots and video, file format compatibility with the platform is especially important. Links to external sources are prohibited).

hh.ru

HH.ru invites researchers to find vulnerabilities in its web and mobile applications.

hh.ru — сервис, который помогает найти работу и подобрать персонал в Москве более 20 лет!

# Правила для нас

*	Мы уважаем время и усилия наших исследователей;
*	Мы отвечаем в течение 5 рабочих дней;
*	Мы обрабатываем отчеты в течение 10 рабочих дней после ответа;
*	Мы можем увеличить сроки обработки отчетов, но в таком случае мы проинформируем вас о задержке;
*	Мы определим сумму вознаграждения в течение 10 рабочих дней после обработки;
*	Мы сделаем все возможное, чтобы в процессе обработки отчета вы были в курсе нашего прогресса.

# Правила для вас

*	Будьте этичным хакером и уважайте конфиденциальность других пользователей;
*	Старайтесь избегать нарушений конфиденциальности, уничтожения данных, а также прерывания или ухудшения качества наших услуг;
*	Если вы проводите исследования веб-ресурсов и API, обязательно указывайте в HTTP заголовке User-Agent и добавляйте в cookie параметр "X_Bug_Bounty" со значением: **your_username**, это поможет избежать потенциальной блокировки аномальной активности; 
*	Если вы проводите исследование hh.ru, при регистрации учётной записи для тестирования в поле Фамилия используйте слово Standoff, это поможет избежать потенциальной блокировки учетной записи; 
*	Инструменты автоматического сканирования должны быть ограничены 30 запросами в секунду к одному целевому узлу, суммируя все инструменты и потоки, работающие параллельно;  
*	Перед началом исследований ознакомьтесь с правилами, указанными в этой программе; 
*	Старайтесь эффективно представлять информацию об уязвимостях;
*  Оповещать и согласовывать уязвимости, которые могут затронуть других клиентов сервиса, через почту bugbounty@hh.ru. После тестирования быть доступным в течении 2х часов на случай инцидента ИБ;

# Скоуп

- setka.ru
- api.setka.ru

Внимание! API сетки рекомендуем тестировать через мобильные приложения (уязвимости в самих приложениях в скоуп не входят):
- Сетка в RuStore: https://www.rustore.ru/catalog/app/ru.setka
- Сетка в Google Play: https://play.google.com/store/apps/details?id=com.setka&hl=ru
- Сетка в App Store: https://apps.apple.com/ru/app/сетка-соцсеть-для-нетворкинга/id1641109721


# Вознаграждения за уязвимости
|Уровень критичности | Размер вознаграждения |
| ----------- | ----------- | 
|Критический| 250&nbsp;000&nbsp;&#x2011;&nbsp;500&nbsp;000&nbsp;₽ |
|Высокий| 80&nbsp;000&nbsp;&#x2011;&nbsp;250&nbsp;000&nbsp;₽ |
|Средний| 30&nbsp;000&nbsp;&#x2011;&nbsp;80&nbsp;000&nbsp;₽ |
|Низкий| 0&nbsp;&#x2011;&nbsp;30&nbsp;000&nbsp;₽ |


# hh.ru не выплачивает вознаграждение:

* за отчеты сканеров безопасности и других автоматизированных инструментов;
* информацию об IP-адресах, DNS-записях и открытых портах;
* проблемы и уязвимости, которые основаны на версии используемого продукта, без демонстрации их эксплуатации;
* уязвимости, эксплуатацию которых блокируют СЗИ, без демонстрации обхода СЗИ (например WAF);
* отчеты о небезопасных шифрах SSL и TLS без демонстрации их эксплуатации;
* уязвимости, информацию о которых ранее передали другие участники конкурса (дубликаты отчетов);
* уязвимости 0-day и 1-day, о которых стало публично известно менее 30 дней назад, и уязвимости с CVSS выше 8, о которых стало известно менее 14 дней назад;  
* Self-XSS и другие уязвимости, напрямую не влияющие на пользователей или данные приложения.
* Уязвимости, для которых требуются версии браузера, выпущенные за 6 и более месяцев (либо прекращена поддержка) до представления отчета;
* Ошибки в настройке CORS без демонстрации их эксплуатации;
* Разглашение информации о существовании в системе данного имени пользователя, email или номера телефона;
* Разглашение технической или нечувствительной информации (например, версии продукта или используемого ПО, stacktrace);
* Tabnabbing;
* Clickjacking;
* Отчеты, связанные с CSP, для доменов без CSP и доменных политик с небезопасными eval и/или небезопасными inline;
* Атаки, требующие полного доступа к локальной учетной записи или профилю браузера;
* Раскрытие конфиденциальной информации пользователей через внешние ресурсы, не контролируемые hh.ru, например данные с шпионского ПО;
* Уязвимости, требующие выполнения сложного или маловероятного сценария взаимодействия с пользователем;
* Отсутствие лучших практик в конфигурации DNS и почтовых сервисов (DKIM/DMARC/SPF/TXT);
* Неработающие ссылки на страницы социальных сетей или невостребованные ссылки в социальных сетях и подобные страницы;
* Возможность выполнить действие, недоступное через пользовательский интерфейс, без выявленных рисков безопасности;
* Возможность создавать учетные записи пользователей без каких-либо ограничений;
* Перечисление пользователей;
* Разглашение публичной информации о пользователях;
* Отсутствие уведомлений о важных действиях пользователя.
* Утечка конфиденциальных маркеров (например, маркера сброса пароля) доверенным 
третьим лицам по защищенному соединению (HTTPS);
* Отчеты, связанные с безопасностью мобильных приложений hh.ru;
* Проблемы, никак не связанные с безопасностью (если вы обнаружите проблемы не связанные с безопасностью, направляйте их в техническую поддержку https://feedback.hh.ru/ticket/add)
* Отсутствие рейт лимитов, которые не сказываются на бизнес процессах;
* Спам;
* Состояние гонки, которое не оказывает влияния на бизнес процессы;
* Фишинг;


Отсутствие механизма защиты или лучших практик без демонстрации реального влияния на безопасность пользователя или системы принимаются как информативные (например: HTTP заголовков безопасности (CSP, HSTS, и т.д.), флагов безопасности Сookie (HttpOnly, Secure и т.д.) или защиты от CSRF, SSL сертификатов);

## Требования к участникам

1. Участвовать в программе могут все заинтересованные исследователи в возрасте от 18 лет.
2. Исследователи в возрасте от 14 до 18 лет имеют право участвовать в программе только при наличии письменного согласия родителей или законного представителя.
3. Сотрудники hh.ru и члены их семей не могут участвовать в программе.


## Обязанности hh.ru

hh.ru обязуется:

1. Отдавать приоритет задачам безопасности, оперативно подходить к устранению обнаруженных уязвимостей.
2. Уважать исследователей, не препятствовать раскрытию информации об отчете без четких на то оснований.
3. Не выдвигать исследователям необоснованные обвинения, связанные с участием в конкурсе.

## Публичное раскрытие информации об уязвимости

Публичное раскрытие по взаимному соглашению. hh.ru  обязуется открыто общаться с исследователями о сроках раскрытия информации. Стороны могут выбрать время, в которое будет обнародовано содержание отчета.

## Недопустимые действия

Исследователям запрещено:

* Запрещено получать доступ к данным другого пользователя без его согласия, изменять и уничтожать их, а также раскрывать любую конфиденциальную информацию, случайным образом полученную в ходе поиска уязвимостей или их демонстрации. Преднамеренный доступ к этой информации запрещен и может быть признан незаконным.
* Воздействовать на учетные записи других пользователей без их разрешения.
* Использовать обнаруженную уязвимость в личных целях.
* Использовать инструменты тестирования уязвимостей, автоматически генерирующие значительные объемы трафика и приводящие к атакам с исчерпанием ресурсов.
* Проводить атаки, наносящие вред целостности и доступности сервисов (например, DoS-атаки, брутфорс-атаки), пытаться эксплуатировать уязвимость, нацеленную на исчерпание ресурсов. Следует сообщить о проблеме команде по безопасности hh.ru которая проведет атаку в тестовой среде.
* Проводить физические атаки на персонал, дата-центры и офисы компании.
* Проводить атаки на системы hh.ru с использованием техник социальной инженерии (фишинг, вишинг и т. д.) и спам-рассылок клиентам, партнерам и сотрудникам.
* Исследовать серверную инфраструктуру, где размещены веб-приложения.
* Разглашать сведения об уязвимости до их публичного раскрытия hh.ru.


Если при исследовании сервисов hh.ru вы обнаружили несколько проблем безопасности, подготовьте отчеты о каждой из выявленных уязвимостей отдельно.


## Политика тестирования RCE  

Тестирование уязвимостей, которые могут приводить к удаленному исполнению кода, должно выполняться в соответствии с данными правилами:

Во время тестирования запрещены любые действия на сервере кроме:
*	Выполнения команд ifconfig (ipconfig), hostname, whoami, id;
*	Чтения содержимого файлов /etc/passwd и /proc/sys/kernel/hostname ("drive:/boot.ini, drive:/install.ini);
*	Создания пустого файла в каталоге текущего пользователя.

При необходимости проведения иных действий необходимо предварительно согласовать их с нашими специалистами безопасности.

## Политика тестирования SQL инъекций

Тестирование уязвимостей, которые могут приводить к внедрению команд SQL, должно выполняться в соответствии с данными правилами:

Во время тестирования запрещены любые действия на сервере кроме:
*	Получения данных о текущей БД (SELECT database()), ее версии (SELECT @@version), текущего пользователя (SELECT user(), SELECT system_user()) или имени хоста (SELECT @@hostname);
*	Получения схемы БД (SELECT table_schema), списка таблиц в ней (SELECT table_name) и имен столбцов в таблицах (SELECT column_name);
*	Выполнения математических, конверсионных или логических запросов (включая использование SLEEP) без извлечения данных (кроме тех, что перечислены выше).

При необходимости проведения иных действий необходимо предварительно согласовать их с нашими специалистами безопасности.

## Политика загрузки и чтения файлов

Тестирование уязвимостей, которые могут приводить к чтению произвольных файлов на сервере или произвольной загрузке файлов, должно выполняться в соответствии с данными правилами:

Запрещенные действия при загрузке файлов:
* Изменение, модификация, удаление и замена любых файлов на сервере (включая системные), кроме тех, что ассоциированы с вашей учетной записью либо с учетной записью пользователя, который явно выразил свое согласие;
* Загрузка файлов, которые могут вызвать отказ в обслуживании (например, файлов большого размера);
* Загрузка вредоносных файлов (например, малвари или шпионского ПО).

При получении возможности чтения произвольных файлов на сервере запрещены любые действия кроме чтения таких файлов, как /etc/passwd и /proc/sys/kernel/hostname ([drive:/boot.ini, drive:/install.ini). При необходимости проведения иных действий необходимо предварительно согласовать их с нашими специалистами безопасности.

## Требования к оформлению отчетов

Один отчет должен описывать одну уязвимость. Исключением являются те случаи, когда уязвимости либо связаны между собой, либо их можно скомбинировать в цепочку.
Несоблюдение минимальных требований к отчету может привести к снижению суммы вознаграждения вплоть до **отказа в выплате**, если в отчете недостаточно предоставленных данных для проведения проверки.
### Необходимое наполнение отчета:
- Описание уязвимости;

- Тип обнаруженной уязвимости;

- CVE;

- Анализ уровня критичности по CVSS;

- Подробное описание шагов воспроизведения (с примерами запросов);

- URL уязвимого приложения;

- Оценка предположительного ущерба и рисков для компании и ее систем;

- Рекомендации по исправлению;

- POC: фото, видео, части кода, пример запроса (для фото и видео особенно важно соблюдение формата файлов, которые поддерживает площадка. Ссылки на сторонние источники запрещены).

Setka

Сетка — социальная сеть для нетворкинга от hh.ru

Programs