Tiquov program nagrada za sigurnosne propuste
Prihvaćamo odgovorne prijave ručno potvrđenih ranjivosti. Prije testiranja pregledajte opseg programa i pravila prijave.
Kako funkcionira
Pronađete moguću sigurnosnu ranjivost u Tiquovu proizvodu.
Pošaljete detaljnu prijavu našem sigurnosnom timu.
Prijavu interno pregledamo unutar 24 sata; službeni odgovor može uslijediti kasnije.
Naš tim istražuje, reproducira i klasificira problem.
Obavještavamo vas o klasifikaciji i iznosu nagrade.
Nagradu isplaćujemo unutar 30 dana od klasifikacije.
Ozbiljnost propusta i iznos nagrade određujemo za svaku prijavu prema stvarnom utjecaju, mogućnosti iskorištavanja i opsegu.
Budući da primamo stotine lažnih prijava generiranih umjetnom inteligencijom, zadržavamo pravo odbiti ili ne odgovoriti na prijave koje ne pružaju stvarne ili vrijedne informacije.
Za testiranje produkcijskih računa Tiqua u okviru ovog programa potrebno je prethodno pisano odobrenje Tiqua. Aktivnosti usmjerene na te račune bez odobrenja ne ispunjavaju uvjete za nagradu, neovisno o otkrivenom propustu.
Što je obuhvaćeno
Program obuhvaća sljedeće:
- tiquo.co
- Krajnje točke Tiquova API-ja
- Tiquove mobilne aplikacije za iOS i Android
- Web-aplikacija i nadzorna ploča tiquo.app
- Postupci provjere identiteta i autorizacije
- Obrada plaćanja i podataka
- Tiquov hardver
Što nije obuhvaćeno
Za sljedeće slučajeve ne dodjeljujemo nagrade:
- Usluge ili integracije trećih strana koje nisu u vlasništvu Tiqua
- Socijalni inženjering ili krađa identiteta usmjerena na Tiquove zaposlenike ili klijente
- Napadi uskraćivanja usluge (DoS/DDoS)
- Neželjene poruke ili problemi s ograničavanjem broja zahtjeva bez izravnog sigurnosnog utjecaja
- Izolirani projekti bez osjetljivih ili korisničkih podataka
- Ranjivosti koje zahtijevaju zastarjele preglednike ili platforme
- Već prijavljeni ili nama poznati problemi
- Automatizirane, spekulativne ili prijave generirane umjetnom inteligencijom bez ručno potvrđenog dokaza da se propust može iskoristiti
- Nedostajuća sigurnosna zaglavlja, bezopasne poruke o pogreškama ili interni detalji, clickjacking na neosjetljivim stranicama, otkrivanje verzija, zastarjeli softver bez dokaza iskorištavanja te teorijski nalazi XSS-a ili CORS-a bez dokazanog sigurnosnog utjecaja.
Razine nagrada
Nagrade dodjeljujemo samo za ranjivosti koje možemo reproducirati i koje imaju dokazan sigurnosni utjecaj. Ozbiljnost određujemo prema utjecaju i mogućnosti iskorištavanja, a ne prema nazivu ranjivosti ili ocjeni skenera. Prijave bez značajnog utjecaja ne plaćamo.
Dokazano ugrožavanje ključnih produkcijskih sustava sa širokim utjecajem.
Dokazano iskorištavanje propusta sa značajnim sigurnosnim utjecajem.
Iskoristivi problemi sa značajnim, ali ograničenim utjecajem. Veće nagrade zahtijevaju dokazan visok ili kritičan utjecaj.
Manje, ponovljive ranjivosti s malim, ali dokazivim sigurnosnim utjecajem.
Dodatne nagrade
Dodatnu nagradu možemo dodijeliti za iznimno jasnu prijavu, širok utjecaj, domišljato povezivanje propusta ili suradnju pri njihovu otklanjanju.
Upute za prijavu
Kako bismo brzo istražili problem, uključite:
- 1Jasan opis ranjivosti
- 2Detaljne korake za ponavljanje problema
- 3Pogođeni URL, krajnja točka ili zaslon
- 4Vaše testno okruženje, preglednik, OS i uređaj
- 5Snimke zaslona ili kod koji dokazuje propust, gdje je moguće
- 6Vaša procjena mogućeg utjecaja
U jednoj prijavi opišite jednu ranjivost. Različite probleme pošaljite odvojeno.
Pravila sudjelovanja
- 1Ne pristupajte podacima drugih korisnika, ne mijenjajte ih i ne brišite.
- 2Ne pokrećite automatizirane skenere prema produkcijskim sustavima bez prethodnog pisanog odobrenja.
- 3Nikada javno ne objavljujte ranjivost, prijavu, dokaz ni povezane pojedinosti.
- 4Ne koristite AI ni jezične modele za izradu prijave. Želimo izvorno istraživanje temeljeno na vašem ručnom testiranju; spekulativne i neprovjerene prijave odbijamo.
- 5Uvijek postupajte u dobroj vjeri.
Zaštita istraživača
Tiquo neće poduzeti pravne radnje protiv istraživača koji postupaju u dobroj vjeri i poštuju pravila. Program je u nadležnosti Tiqua; možemo ga izmijeniti ili završiti, a naše su odluke konačne.
Kontakt
Prijave pošaljite na:
security@tiquo.coSvaku prijavu interno pregledamo unutar 24 sata. Službeni odgovor može potrajati; početnu procjenu očekujte unutar 10 radnih dana i nemojte slati požurnice.