Tiquo-Programm für Sicherheitsprämien
Melden Sie unserem Sicherheitsteam Schwachstellen, die Sie manuell bestätigt haben. Für berechtigte Meldungen vergeben wir Prämien nach den folgenden Regeln.
So funktioniert es
Sie entdecken eine mögliche Sicherheitslücke in einem Tiquo-Produkt.
Sie senden unserem Sicherheitsteam einen ausführlichen Bericht.
Wir prüfen den Bericht innerhalb von 24 Stunden intern; die formelle Antwort kann später folgen.
Unser Team untersucht, reproduziert und klassifiziert das Problem.
Wir teilen Ihnen Einstufung und Prämienhöhe mit.
Die Auszahlung erfolgt innerhalb von 30 Tagen nach der Einstufung.
Tiquo bestimmt Schweregrad und Prämie nach einer individuellen Bewertung von tatsächlicher Auswirkung, Ausnutzbarkeit und Umfang.
Da wir Hunderte von KI-generierten Falschmeldungen erhalten, behalten wir uns das Recht vor, Meldungen abzulehnen oder nicht zu beantworten, wenn sie keine tatsächlichen oder wertvollen Informationen enthalten.
Bug-Bounty-Tests auf produktiven Tiquo-Konten erfordern die vorherige schriftliche Genehmigung von Tiquo. Wenn Sie ohne diese Genehmigung Aktivitäten durchführen, die auf diese Konten abzielen, wird unabhängig von Ihren Ergebnissen keine Prämie ausgezahlt.
Im Prüfungsumfang
Das Programm umfasst:
- tiquo.co
- API-Endpunkte von Tiquo
- Tiquo-Apps für iOS und Android
- Web-App und Dashboard auf tiquo.app
- Authentifizierungs- und Autorisierungsabläufe
- Zahlungs- und Datenverarbeitung
- Tiquo-Hardware
Nicht im Prüfungsumfang
Für Folgendes werden keine Prämien vergeben:
- Dienste oder Integrationen Dritter, die nicht Tiquo gehören
- Social Engineering oder Phishing gegen Mitarbeitende oder Kunden von Tiquo
- Denial-of-Service-Angriffe (DoS/DDoS)
- Spam oder Ratenbegrenzung ohne direkte Sicherheitsauswirkung
- Isolierte Projekte ohne sensible Daten oder Kundendaten
- Schwachstellen, die veraltete Browser oder Plattformen voraussetzen
- Bereits gemeldete oder uns bekannte Probleme
- Automatisierte, spekulative oder KI-generierte Meldungen ohne manuell geprüften, funktionierenden Nachweis
- Fehlende Sicherheitsheader, harmlose Fehlermeldungen oder interne Details, Clickjacking auf nicht sensiblen Seiten, Versionsangaben, veraltete Software ohne funktionierenden Exploit und theoretische XSS- oder CORS-Befunde ohne nachgewiesene Sicherheitsauswirkungen.
Prämienstufen
Nur reproduzierbare Schwachstellen mit nachgewiesenen Sicherheitsauswirkungen sind prämienberechtigt. Der Schweregrad richtet sich nach belegten Auswirkungen und Ausnutzbarkeit, nicht nach dem Namen der Schwachstelle oder einer Scanner-Bewertung. Meldungen ohne relevante Auswirkungen werden nicht vergütet.
Nachgewiesene Kompromittierung zentraler Produktionssysteme mit weitreichenden Folgen.
Nachgewiesener funktionierender Exploit mit erheblichen Sicherheitsauswirkungen.
Ausnutzbare Schwachstellen mit relevanten, aber begrenzten Auswirkungen. Höhere Prämien setzen nachgewiesene hohe oder kritische Auswirkungen voraus.
Geringfügige, reproduzierbare Schwachstellen mit kleinen, aber nachweisbaren Sicherheitsauswirkungen.
Bonusprämien
Besonders klare Berichte, weitreichende Auswirkungen, kreative Angriffsketten oder enge Mithilfe bei der Behebung können eine zusätzliche Prämie erhalten.
Hinweise zur Meldung
Damit wir das Problem schnell prüfen können, geben Sie Folgendes an:
- 1Eine klare Beschreibung der Schwachstelle
- 2Eine schrittweise Anleitung zur Reproduktion
- 3Betroffene URL, Endpunkt oder Anwendungsansicht
- 4Ihre Testumgebung, Browser, Betriebssystem und Gerät
- 5Wenn möglich Screenshots oder funktionsfähiger Beispielcode
- 6Ihre Einschätzung der möglichen Auswirkungen
Bitte melden Sie nur eine Schwachstelle pro Bericht und reichen Sie unterschiedliche Probleme getrennt ein.
Teilnahmeregeln
- 1Greifen Sie nicht auf Daten anderer Nutzer zu und ändern oder löschen Sie diese nicht.
- 2Führen Sie ohne vorherige schriftliche Genehmigung keine automatisierten Scans gegen Produktivsysteme aus.
- 3Veröffentlichen Sie zu keiner Zeit eine Schwachstelle, einen Bericht, Nachweis oder zugehörige Details.
- 4Verwenden Sie keine KI oder Sprachmodelle zum Erstellen des Berichts. Wir erwarten eigene Forschung auf Grundlage Ihrer manuellen Tests; spekulative und ungeprüfte Meldungen werden abgelehnt.
- 5Handeln Sie jederzeit nach Treu und Glauben.
Schutz für Sicherheitsforschende
Sicherheitsforschende, die nach Treu und Glauben handeln und diese Regeln befolgen, müssen keine rechtlichen Schritte von Tiquo befürchten. Das Programm liegt im Ermessen von Tiquo; wir können Bedingungen ändern oder beenden, und unsere Entscheidungen sind endgültig.
Kontakt
Senden Sie Berichte an:
security@tiquo.coJeder Bericht wird innerhalb von 24 Stunden intern geprüft. Eine formelle Antwort kann länger dauern; eine erste Einschätzung erfolgt innerhalb von 10 Werktagen. Bitte senden Sie keine Statusnachfragen.