A Tiquo hibajutalom-programja
Ha sebezhetőséget talált a Tiquóban, ellenőrizze kézzel, és jelentse biztonsági csapatunknak. Köszönjük a kutatók munkáját, amellyel segítenek biztonságosabbá tenni a platformot.
Hogyan működik
Lehetséges biztonsági sebezhetőséget talál egy Tiquo-termékben.
Részletes jelentést küld biztonsági csapatunknak.
A jelentést 24 órán belül áttekintjük; a hivatalos válasz később érkezhet.
Csapatunk kivizsgálja, reprodukálja és besorolja a problémát.
Tájékoztatjuk a besorolásról és a jutalom összegéről.
A kifizetés a besorolástól számított 30 napon belül történik.
A súlyosságot és a jutalmat a Tiquo minden jelentésnél a tényleges hatás, a kihasználhatóság és a kiterjedés alapján állapítja meg.
Mivel több száz, mesterséges intelligencia által generált hamis bejelentést kapunk, fenntartjuk a jogot az olyan bejelentések elutasítására vagy megválaszolatlanul hagyására, amelyek nem tartalmaznak valós vagy értékes információt.
A Tiquo éles fiókjain végzett hibavadász teszteléshez a Tiquo előzetes írásbeli jóváhagyása szükséges. Ha e jóváhagyás nélkül végez bármilyen, e fiókokat célzó tevékenységet, a feltárt hibáktól függetlenül nem fizetünk jutalmat.
A program hatálya
A program a következőkre terjed ki:
- tiquo.co
- A Tiquo API-végpontjai
- A Tiquo iOS- és Android-alkalmazásai
- A tiquo.app webalkalmazás és irányítópult
- Hitelesítési és engedélyezési folyamatok
- Fizetési és adatkezelési folyamatok
- Tiquo-hardver
A programon kívüli esetek
A következő esetekért nem jár jutalom:
- Nem a Tiquo tulajdonában lévő külső szolgáltatások vagy integrációk
- Tiquo-alkalmazottak vagy -ügyfelek elleni megtévesztés vagy adathalászat
- Szolgáltatásmegtagadási támadások (DoS/DDoS)
- Közvetlen biztonsági hatás nélküli spamelési lehetőségek vagy kérésszám-korlátozási hibák
- Érzékeny vagy ügyféladatot nem tartalmazó elkülönített projektek
- Elavult böngészőt vagy platformot igénylő sebezhetőségek
- Már bejelentett vagy általunk ismert problémák
- Automatikus, feltételezéseken alapuló vagy AI által készített jelentések, amelyekhez nem mellékeltek kézzel ellenőrzött, működő bizonyítékot
- Hiányzó biztonsági fejlécek, ártalmatlan hibaüzenetek vagy belső részletek, clickjacking nem érzékeny oldalakon, verzióinformációk, elavult szoftver működő exploit nélkül, valamint elméleti XSS- vagy CORS-hibák bizonyított biztonsági hatás nélkül.
Jutalmi szintek
Csak a reprodukálható, bizonyított biztonsági hatással járó sérülékenységek jogosultak jutalomra. A súlyosságot az igazolt hatás és a kihasználhatóság határozza meg, nem a sérülékenység neve vagy egy szkenner értékelése. Az érdemi hatás nélküli bejelentésekért nem jár kifizetés.
Kulcsfontosságú éles rendszerek bizonyított feltörése, széles körű hatással.
Bizonyítottan működő exploit jelentős biztonsági hatással.
Kihasználható hibák érdemi, de korlátozott hatással. Magasabb jutalomhoz bizonyított magas vagy kritikus hatás szükséges.
Kisebb, reprodukálható sérülékenységek csekély, de kimutatható biztonsági hatással.
Bónuszjutalmak
A kivételesen világos jelentés, a széles körű hatás, az ötletes támadási lánc vagy a javításban nyújtott szoros együttműködés bónuszt érhet.
Beküldési útmutató
A gyors kivizsgáláshoz adja meg a következőket:
- 1A sebezhetőség világos leírása
- 2A hiba reprodukálásának lépései
- 3Az érintett URL, végpont vagy alkalmazásképernyő
- 4A tesztkörnyezet, böngésző, operációs rendszer és eszköz
- 5Lehetőség szerint képernyőkép vagy működő példakód
- 6A lehetséges hatás saját értékelése
Jelentésenként egy sebezhetőséget küldjön; a különböző problémákat külön jelentse.
Részvételi szabályok
- 1Ne férjen hozzá más felhasználók adataihoz, és ne módosítsa vagy törölje azokat.
- 2Előzetes írásos engedély nélkül ne futtasson automatikus keresőt éles rendszereken.
- 3Soha ne tegyen közzé sebezhetőséget, jelentést, bizonyítékot vagy kapcsolódó részletet.
- 4A jelentés elkészítéséhez ne használjon AI-t vagy nyelvi modellt. Saját kézi tesztelésen alapuló eredeti kutatást várunk; a spekulatív vagy ellenőrizetlen jelentéseket elutasítjuk.
- 5Mindig jóhiszeműen járjon el.
Kutatók védelme
A jóhiszeműen eljáró és a szabályokat betartó kutatókkal szemben a Tiquo nem tesz jogi lépéseket. A program a Tiquo mérlegelése alapján működik; módosíthatjuk vagy megszüntethetjük, döntéseink véglegesek.
Kapcsolat
A jelentéseket ide küldje:
security@tiquo.coMinden jelentést 24 órán belül belsőleg áttekintünk. A hivatalos válasz több időt vehet igénybe; az első értékelést 10 munkanapon belül adjuk. Kérjük, ne küldjön sürgető üzeneteket.