Program odměn Tiquo za nalezené chyby
Našli jste bezpečnostní chybu v Tiquo? Vítáme podrobná hlášení zranitelností, které jste ověřili vlastním testováním.
Jak program funguje
Najdete možnou bezpečnostní chybu v Tiquo.
Odešlete podrobné hlášení našemu bezpečnostnímu týmu.
Hlášení interně zkontrolujeme do 24 hodin; formální odpověď může přijít později.
Tým problém prověří, reprodukuje a určí jeho závažnost.
Sdělíme vám určenou závažnost a výši odměny.
Odměnu vyplatíme do 30 dnů od klasifikace.
Závažnost a odměnu určuje Tiquo po posouzení skutečného dopadu, možnosti zneužití a rozsahu problému.
Dostáváme stovky nepravdivých hlášení vytvořených umělou inteligencí. Vyhrazujeme si proto právo odmítnout hlášení bez skutečných, užitečných informací nebo na ně neodpovědět.
Testování v rámci programu bug bounty na produkčních účtech Tiquo vyžaduje předchozí písemný souhlas společnosti Tiquo. Pokud bez tohoto souhlasu provedete jakoukoli činnost zaměřenou na tyto účty, nebude vám vyplacena žádná odměna bez ohledu na vaše zjištění.
Co je v rozsahu
Program zahrnuje následující systémy:
- tiquo.co
- Koncové body API Tiquo
- Mobilní aplikace Tiquo pro iOS a Android
- Webová aplikace a administrace tiquo.app
- Ověřování uživatelů a kontrola oprávnění
- Zpracování plateb a dat
- Hardware Tiquo
Co je mimo rozsah
Za následující případy odměna nenáleží:
- Služby a integrace třetích stran, které nevlastní Tiquo
- Sociální inženýrství nebo phishing vůči zaměstnancům nebo zákazníkům Tiquo
- Útoky typu odepření služby (DoS/DDoS)
- Spam nebo nedostatky v omezování počtu požadavků bez přímého bezpečnostního dopadu
- Izolované projekty bez citlivých či zákaznických dat
- Zranitelnosti vyžadující zastaralý prohlížeč nebo platformu
- Již nahlášené nebo nám známé problémy
- Automatizovaná, spekulativní nebo pomocí AI vytvořená hlášení bez ručně ověřeného důkazu funkčního zneužití
- Chybějící bezpečnostní hlavičky, neškodné chybové zprávy či interní podrobnosti, clickjacking na necitlivých stránkách, zveřejnění verzí, zastaralý software bez funkčního exploitu a teoretické nálezy XSS či CORS bez prokázaného bezpečnostního dopadu.
Úrovně odměn
Na odměnu mají nárok pouze reprodukovatelné zranitelnosti s prokázaným bezpečnostním dopadem. Závažnost závisí na doloženém dopadu a zneužitelnosti, nikoli na názvu zranitelnosti nebo hodnocení skeneru. Hlášení bez významného dopadu nejsou odměňována.
Prokázané kompromitování klíčových produkčních systémů s rozsáhlým dopadem.
Prokázané zneužití zranitelnosti s podstatným bezpečnostním dopadem.
Zneužitelné chyby s významným, ale omezeným dopadem. Vyšší odměny vyžadují prokázaný vysoký nebo kritický dopad.
Drobné, reprodukovatelné zranitelnosti s malým, ale prokazatelným bezpečnostním dopadem.
Mimořádné odměny
Za mimořádně kvalitní popis, rozsáhlý dopad, nápadité propojení zranitelností nebo úzkou spolupráci při nápravě můžeme udělit odměnu nad uvedené rozmezí.
Pokyny k odeslání
Abychom mohli problém rychle prověřit, uveďte:
- 1Jasný popis zranitelnosti
- 2Podrobný postup, jak problém zopakovat
- 3Dotčená URL, koncový bod nebo obrazovka
- 4Testovací prostředí, prohlížeč, operační systém a zařízení
- 5Snímky obrazovky nebo ukázkový kód, pokud je to možné
- 6Vaše posouzení možného dopadu
Do jednoho hlášení zahrňte pouze jednu zranitelnost. Různé problémy pošlete samostatně.
Pravidla zapojení
- 1Nepřistupujte k datům jiných uživatelů, neupravujte je ani nemažte.
- 2Bez předchozího písemného souhlasu nespouštějte automatické skenery proti produkčním systémům.
- 3Nezveřejňujte zranitelnost, hlášení, ukázku ani související údaje.
- 4K vytvoření hlášení nepoužívejte AI ani jazykové modely. Požadujeme původní výzkum založený na vlastním ručním testování; spekulativní a neověřená hlášení odmítneme.
- 5Vždy jednejte v dobré víře.
Ochrana výzkumníků
Pokud jednáte v dobré víře a dodržujete pravidla, Tiquo proti vám nepodnikne právní kroky. Program provozujeme podle vlastního uvážení. Jeho podmínky můžeme změnit nebo program ukončit; naše rozhodnutí jsou konečná.
Kontakt
Hlášení posílejte na:
security@tiquo.coKaždé hlášení interně zkontrolujeme do 24 hodin. Formální odpověď může trvat déle; první posouzení očekávejte do 10 pracovních dnů a neposílejte opakované dotazy na stav.