Tiquon haavoittuvuuspalkkio-ohjelma
Otamme vastaan tietoturvatutkijoiden ilmoituksia itse vahvistetuista haavoittuvuuksista. Lue ohjelman kohteet, säännöt ja ilmoitusohjeet ennen testausta.
Näin ohjelma toimii
Löydät mahdollisen haavoittuvuuden Tiquon tuotteesta.
Lähetät yksityiskohtaisen ilmoituksen tietoturvatiimillemme.
Tarkistamme ilmoituksen sisäisesti 24 tunnin kuluessa; virallinen vastaus voi tulla myöhemmin.
Tiimimme tutkii havainnon, toistaa sen ja arvioi vakavuuden.
Ilmoitamme sinulle vakavuusluokituksen ja palkkion määrän.
Palkkio maksetaan 30 päivän kuluessa luokituksesta.
Tiquo arvioi vakavuuden ja palkkion tapauskohtaisesti vaikutuksen, hyödynnettävyyden ja laajuuden perusteella.
Saamme paljon virheellisiä tekoälyllä laadittuja raportteja. Voimme hylätä raportin tai jättää siihen vastaamatta, jos se ei sisällä vahvistettua havaintoa tai tutkimisen kannalta hyödyllisiä tietoja.
Bug bounty -testaus Tiquon tuotantokäytössä olevilla tileillä edellyttää Tiquon etukäteen antamaa kirjallista hyväksyntää. Jos kohdistat näihin tileihin toimintaa ilman tätä hyväksyntää, palkkiota ei makseta löydöksistäsi riippumatta.
Ohjelman piiriin kuuluvat kohteet
Ohjelma kattaa seuraavat kohteet:
- tiquo.co
- Tiquon API-rajapinnat
- Tiquon iOS- ja Android-mobiilisovellukset
- tiquo.app-verkkosovellus ja hallintapaneeli
- Tunnistautuminen ja käyttöoikeuksien tarkistus
- Maksujen ja tietojen käsittely
- Tiquo-laitteisto
Ohjelman ulkopuoliset kohteet
Seuraavista tapauksista ei makseta palkkiota:
- Kolmannen osapuolen palvelut tai integraatiot, joita Tiquo ei omista
- Tiquon työntekijöihin tai asiakkaisiin kohdistuva manipulointi tai tietojenkalastelu
- Palvelunestohyökkäykset (DoS/DDoS)
- Roskaposti tai pyyntömäärien rajoituksiin liittyvät puutteet ilman suoraa tietoturvavaikutusta
- Erilliset projektit, joissa ei ole arkaluonteisia tai asiakastietoja
- Haavoittuvuudet, jotka vaativat vanhentuneen selaimen tai alustan
- Jo ilmoitetut tai tiedossamme olevat ongelmat
- Automaattiset, spekulatiiviset tai tekoälyllä laaditut ilmoitukset ilman itse testattua näyttöä
- Puuttuvat tietoturvaotsakkeet, harmittomat virheilmoitukset tai sisäiset tiedot, klikkauskaappaus ei-arkaluonteisilla sivuilla, versiotiedot, vanhentuneet ohjelmistot ilman toimivaa hyväksikäyttöä sekä teoreettiset XSS- tai CORS-havainnot ilman osoitettua tietoturvavaikutusta.
Palkkiotasot
Palkkio edellyttää toistettavaa haavoittuvuutta ja osoitettua tietoturvavaikutusta. Arvioimme vakavuuden vaikutuksen ja hyödynnettävyyden perusteella. Haavoittuvuuden nimi tai skannerin luokitus ei yksin riitä. Raportista ei makseta palkkiota, jos vaikutus ei ole merkittävä.
Keskeisen tuotantojärjestelmän osoitettu vaarantuminen, jolla on laajat vaikutukset.
Todistetusti toimiva hyväksikäyttö, jolla on merkittävä tietoturvavaikutus.
Hyödynnettävä puute, jonka vaikutus on merkittävä mutta rajallinen. Suurempi palkkio edellyttää osoitettua korkean tai kriittisen tason vaikutusta.
Pienet, toistettavat haavoittuvuudet, joilla on vähäinen mutta osoitettavissa oleva tietoturvavaikutus.
Lisäpalkkiot
Erityisen selkeä ilmoitus, laaja vaikutus, kekseliäs hyökkäysketju tai tiivis yhteistyö korjauksen aikana voi oikeuttaa lisäpalkkioon.
Ilmoitusohjeet
Jotta voimme tutkia asian nopeasti, liitä mukaan:
- 1Selkeä kuvaus haavoittuvuudesta
- 2Vaiheittaiset toisto-ohjeet
- 3Kyseinen URL-osoite, rajapinta tai sovellusnäkymä
- 4Testiympäristö, selain, käyttöjärjestelmä ja laite
- 5Kuvakaappaukset tai toimiva esimerkkikoodi mahdollisuuksien mukaan
- 6Arviosi mahdollisesta vaikutuksesta
Lähetä jokaisesta haavoittuvuudesta erillinen raportti.
Osallistumissäännöt
- 1Älä käytä, muuta tai poista muiden käyttäjien tietoja.
- 2Älä suorita automaattisia tarkistuksia tuotantojärjestelmiin ilman Tiquon kirjallista ennakkolupaa.
- 3Älä koskaan julkista haavoittuvuutta, ilmoitusta, näyttöä tai siihen liittyviä tietoja.
- 4Älä käytä raportin laatimiseen tekoälyä tai kielimalleja. Raportin on perustuttava omaan tutkimukseesi ja itse tekemiisi testeihin. Spekulatiiviset ja vahvistamattomat ilmoitukset hylätään.
- 5Toimi aina vilpittömästi.
Tietoturvatutkijoiden suoja
Tiquo ei ryhdy oikeustoimiin tutkijoita vastaan, kun he toimivat vilpittömästi ja noudattavat ohjelman sääntöjä. Ohjelma on harkinnanvarainen: voimme muuttaa sitä tai lopettaa sen. Tiquon päätökset ovat lopullisia.
Yhteystiedot
Lähetä ilmoitukset osoitteeseen:
security@tiquo.coTarkistamme jokaisen ilmoituksen sisäisesti 24 tunnin kuluessa. Virallinen vastaus voi kestää kauemmin; ensimmäinen arvio annetaan 10 arkipäivän kuluessa. Älä lähetä tilannetta kyseleviä muistutuksia.