Програма на Tiquo за награди при открити уязвимости
Работим с изследователи по сигурността, които откриват и отговорно докладват потвърдени уязвимости в Tiquo.
Как работи
Откривате потенциална уязвимост в продукт на Tiquo.
Изпращате подробен доклад до екипа ни по сигурността.
Преглеждаме доклада вътрешно до 24 часа; официалният отговор може да последва по-късно.
Екипът ни проверява, възпроизвежда и класифицира проблема.
Уведомяваме ви за класификацията и размера на наградата.
Плащането се извършва до 30 дни след класификацията.
Tiquo определя тежестта на проблема и наградата за всеки доклад според действителното въздействие, възможността за експлоатация и обхвата.
Тъй като получаваме стотици неверни доклади, генерирани от ИИ, си запазваме правото да отхвърляме или да не отговаряме на доклади, които не предоставят реална или ценна информация.
Тестването по програмата за награди за уязвимости върху акаунти на Tiquo в продукционна среда изисква предварително писмено одобрение от Tiquo. Ако извършвате каквато и да е дейност, насочена към тези акаунти, без това одобрение, няма да бъде изплатена награда, независимо от вашите открития.
Какво влиза в обхвата
Програмата обхваща следните системи:
- tiquo.co
- API крайните точки на Tiquo
- Мобилните приложения на Tiquo за iOS и Android
- Уеб приложението и таблото tiquo.app
- Процесите за удостоверяване и оторизация
- Процесите за плащания и обработка на данни
- Хардуерът на Tiquo
Какво е извън обхвата
За следните случаи не се изплащат награди:
- Услуги или интеграции на трети страни, които не са собственост на Tiquo
- Социално инженерство или фишинг срещу служители или клиенти на Tiquo
- Атаки за отказ на услуга (DoS/DDoS)
- Спам или проблеми с ограничаването на заявките без пряко въздействие върху сигурността
- Изолирани проекти без чувствителни или клиентски данни
- Уязвимости, изискващи остарели браузъри или платформи
- Вече докладвани или известни проблеми
- Автоматично създадени, спекулативни или генерирани от ИИ доклади без работеща демонстрация, проверена ръчно
- Липсващи заглавки за сигурност, безвредни съобщения за грешки или вътрешни подробности, кликджекинг на нечувствителни страници, разкриване на версии, остарял софтуер без работещ експлойт и теоретични XSS или CORS находки без доказано въздействие върху сигурността.
Нива на наградите
Само възпроизводими уязвимости с доказано въздействие върху сигурността отговарят на условията за награди. Тежестта зависи от доказаното въздействие и възможността за експлоатация, а не от името на уязвимостта или оценката на скенер. Доклади без значимо въздействие не се заплащат.
Доказано компрометиране на основни продукционни системи с широкомащабно въздействие.
Доказано работещ експлойт със съществено въздействие върху сигурността.
Експлоатируеми проблеми със значимо, но ограничено въздействие. По-високи награди изискват доказано високо или критично въздействие.
Незначителни, възпроизводими уязвимости с малко, но доказуемо въздействие върху сигурността.
Допълнителни награди
Можем да присъдим по-висока награда за изключително ясен доклад, широко въздействие, находчива верига от атаки или отлично съдействие при отстраняването.
Насоки за подаване
За да можем да проверим проблема бързо, включете:
- 1Ясно описание на уязвимостта
- 2Последователни стъпки за възпроизвеждане
- 3Засегнатият URL адрес, крайна точка на API или екран
- 4Вашата среда за тестване, браузър, ОС и устройство
- 5Екранни снимки или демонстрационен код, когато е възможно
- 6Вашата оценка на потенциалното въздействие
Изпращайте по една уязвимост във всеки доклад. За различни проблеми използвайте отделни доклади.
Правила за участие
- 1Не осъществявайте достъп, не променяйте и не изтривайте данни на други потребители.
- 2Не използвайте автоматични скенери срещу продукционни системи без предварително писмено разрешение.
- 3Не разкривайте публично уязвимост, доклад, демонстрация или свързани подробности.
- 4Не използвайте ИИ или езикови модели за създаване на доклада. Приемаме оригинални изследвания, основани на собствени ръчни тестове. Отхвърляме спекулативни и непроверени материали.
- 5Действайте добросъвестно по всяко време.
Защита на изследователите
Изследователи, които действат добросъвестно и спазват тези правила, няма да бъдат обект на правни действия от Tiquo. Програмата е по преценка на Tiquo; можем да променим или прекратим условията, а решенията ни са окончателни.
Контакт
Изпращайте докладите си на:
security@tiquo.coВсеки доклад се преглежда вътрешно до 24 часа. Официалният отговор може да отнеме повече време; очаквайте първоначална оценка до 10 работни дни и не изпращайте напомнящи писма.