Как мы защищаем критичные операции

Аккаунт

• Вход поддерживает Telegram, Google и одноразовый код на email.
• Коды имеют срок действия и ограничение попыток; в базе хранится проверочное значение, а не сам код.
• Привязка email к Telegram-аккаунту не объединяет разные аккаунты автоматически.

Оплата

• NexoVPN не получает номер банковской карты: ввод происходит на hosted payment page провайдера.
• Возврат пользователя со страницы оплаты не считается подтверждением платежа.
• Доступ начисляется после проверенного серверного события; повторные события дедуплицируются.

Аналитика и персональные данные

Google Tag Manager загружается только после явного согласия. В события запрещено передавать email, Telegram username, HWID, токены и URL подписки. Согласие можно отозвать через кнопку «Настройки cookies».

Сообщить об уязвимости

Напишите на [email protected] с темой «Security report». Опишите затронутый URL, шаги и возможное влияние.

Не проверяйте уязвимость на чужих аккаунтах, не выгружайте данные и не нарушайте доступность сервиса. Мы не обещаем вознаграждение, но подтвердим получение сообщения.