Tiquos bug bounty-program
Har du fundet en sårbarhed i Tiquo? Vi modtager rapporter med manuelt bekræftede fund. Her kan du læse, hvad programmet omfatter, og hvordan du indsender en rapport.
Sådan fungerer det
Find og bekræft en mulig sikkerhedssårbarhed i et Tiquo-produkt.
Send en detaljeret rapport til vores sikkerhedsteam.
Vi gennemgår rapporten internt inden for 24 timer; det formelle svar kan komme senere.
Teamet undersøger, reproducerer og klassificerer problemet.
Vi giver dig besked om klassificeringen og belønningen.
Belønningen udbetales inden for 30 dage efter klassificeringen.
Tiquo vurderer hvert fund og fastsætter alvorlighed og belønning ud fra den dokumenterede påvirkning, muligheden for udnyttelse og omfanget.
Vi modtager hundredvis af fejlagtige AI-genererede rapporter. Vi kan afvise eller undlade at besvare rapporter, der ikke indeholder reelle eller brugbare oplysninger.
Bug bounty-test på Tiquos konti i produktion kræver forudgående skriftlig godkendelse fra Tiquo. Hvis du udfører aktiviteter rettet mod disse konti uden denne godkendelse, udbetales der ingen belønning, uanset dine fund.
Dette er omfattet
Programmet omfatter følgende:
- tiquo.co
- Tiquos API-endpoints
- Tiquos mobilapps til iOS og Android
- Webappen og kontrolpanelet på tiquo.app
- Login- og godkendelsesforløb
- Betalings- og databehandling
- Tiquo-hardware
Dette er ikke omfattet
Følgende udløser ikke belønning:
- Tredjepartstjenester eller integrationer, som Tiquo ikke ejer
- Social engineering eller phishing mod Tiquos medarbejdere eller kunder
- DoS- og DDoS-angreb
- Spam eller hastighedsbegrænsning uden direkte sikkerhedspåvirkning
- Isolerede projekter uden følsomme data eller kundeoplysninger
- Sårbarheder, der kræver forældede browsere eller platforme
- Problemer, der allerede er rapporteret eller kendt af os
- Automatisk udarbejdede, spekulative eller AI-genererede rapporter uden et fungerende bevis, der er bekræftet manuelt
- Manglende sikkerhedsheaders, harmløse fejlmeddelelser eller interne detaljer, clickjacking på sider uden følsomme funktioner, versionsoplysninger, forældet software uden et fungerende bevis på udnyttelse samt teoretiske XSS- eller CORS-fund uden dokumenteret sikkerhedspåvirkning.
Belønningsniveauer
En belønning kræver en reproducerbar sårbarhed med dokumenteret sikkerhedspåvirkning. Vi vurderer den faktiske påvirkning og muligheden for udnyttelse frem for sårbarhedens navn eller scannerens vurdering. Fund uden væsentlig påvirkning udløser ikke belønning.
Dokumenteret kompromittering af centrale produktionssystemer med omfattende påvirkning.
Et dokumenteret angreb, der virker og har væsentlig sikkerhedspåvirkning.
Fejl, som kan udnyttes og har væsentlig, men begrænset påvirkning. En højere belønning kræver dokumenteret påvirkning på niveauet høj eller kritisk.
Mindre, reproducerbare sårbarheder med lille, men påviselig sikkerhedspåvirkning.
Bonusbelønninger
Vi kan give en bonus ud over de angivne intervaller for særligt klare rapporter, stor påvirkning, kreative angrebskæder eller tæt samarbejde om at løse problemet.
Retningslinjer for indsendelse
Medtag følgende, så vi hurtigt kan undersøge sagen:
- 1En tydelig beskrivelse af sårbarheden
- 2Trinvis vejledning til at genskabe problemet
- 3Den berørte URL, det berørte endpoint eller den berørte skærm
- 4Dit testmiljø, browser, operativsystem og enhed
- 5Skærmbilleder eller kode, der demonstrerer problemet, hvor det er muligt
- 6Din vurdering af den mulige påvirkning
Indsend én rapport pr. sårbarhed.
Regler for deltagelse
- 1Tilgå, ændr eller slet ikke andre brugeres data.
- 2Kør ikke automatiske scannere mod produktionssystemer uden Tiquos skriftlige forhåndsgodkendelse.
- 3Offentliggør aldrig en sårbarhed, rapport, demonstration eller relaterede oplysninger.
- 4Brug ikke AI eller sprogmodeller til at skrive rapporten. Rapporten skal bygge på din egen undersøgelse og manuelle test. Vi afviser spekulative og ubekræftede rapporter.
- 5Handl altid i god tro.
Beskyttelse af sikkerhedsforskere
Tiquo vil ikke tage retlige skridt mod sikkerhedsforskere, der handler i god tro og følger reglerne. Tiquo kan efter eget skøn ændre vilkårene eller afslutte programmet. Vores afgørelser er endelige.
Kontakt
Send rapporter til:
security@tiquo.coVi gennemgår alle rapporter internt inden for 24 timer. Det formelle svar kan komme senere. Forvent en første vurdering inden for 10 arbejdsdage, og undlad at sende rykkere.