Program imbalan bug Tiquo
Kami menerima laporan kerentanan yang telah diverifikasi melalui pengujian manual. Jelaskan langkah untuk mereproduksi masalah dan dampak keamanannya agar tim kami dapat menyelidikinya.
Cara kerjanya
Anda menemukan dugaan kerentanan pada produk Tiquo.
Kirim laporan terperinci kepada tim keamanan kami.
Kami meninjau laporan secara internal dalam 24 jam; tanggapan resmi mungkin diberikan kemudian.
Tim kami menyelidiki masalah, mencoba mereproduksinya, lalu menetapkan klasifikasinya.
Kami memberi tahu Anda hasil klasifikasi dan jumlah imbalannya.
Pembayaran dilakukan dalam 30 hari setelah klasifikasi.
Tiquo menetapkan tingkat keparahan dan imbalan setelah menilai dampak nyata, kemungkinan eksploitasi, dan cakupan setiap laporan.
Karena kami menerima ratusan laporan palsu yang dihasilkan AI, kami berhak menolak atau tidak menanggapi laporan yang tidak memberikan informasi nyata atau berharga.
Pengujian bug bounty pada akun Tiquo mana pun di lingkungan produksi memerlukan persetujuan tertulis terlebih dahulu dari Tiquo. Jika Anda melakukan aktivitas apa pun yang menargetkan akun tersebut tanpa persetujuan itu, tidak ada hadiah yang akan dibayarkan, apa pun temuan Anda.
Yang termasuk cakupan
Program ini mencakup:
- tiquo.co
- Endpoint API Tiquo
- Aplikasi seluler Tiquo untuk iOS dan Android
- Aplikasi web dan dasbor tiquo.app
- Alur autentikasi dan otorisasi
- Proses pembayaran dan penanganan data
- Perangkat keras Tiquo
Yang tidak termasuk cakupan
Kasus berikut tidak memenuhi syarat untuk mendapat imbalan:
- Layanan atau integrasi pihak ketiga yang bukan milik Tiquo
- Rekayasa sosial atau phishing terhadap karyawan atau pelanggan Tiquo
- Serangan penolakan layanan (DoS/DDoS)
- Spam atau masalah pembatasan laju permintaan tanpa dampak keamanan langsung
- Proyek terisolasi tanpa data sensitif atau informasi pelanggan
- Kerentanan yang memerlukan peramban atau platform usang
- Masalah yang sudah dilaporkan atau sudah kami ketahui
- Laporan otomatis, spekulatif, atau buatan AI tanpa bukti yang telah diverifikasi melalui pengujian manual
- Header keamanan yang hilang, pesan kesalahan atau detail internal yang tidak berbahaya, clickjacking pada halaman tidak sensitif, pengungkapan versi, perangkat lunak usang tanpa eksploit yang berfungsi, serta temuan XSS atau CORS teoretis tanpa dampak keamanan terbukti.
Tingkat imbalan
Imbalan hanya diberikan untuk kerentanan yang dapat direproduksi dan memiliki dampak keamanan terbukti. Tingkat keparahan ditentukan oleh dampak dan kemungkinan eksploitasi, bukan nama kerentanan atau skor pemindai. Laporan tanpa dampak berarti tidak menerima imbalan.
Pengambilalihan atau pembobolan sistem produksi inti yang terbukti berdampak luas.
Eksploit yang terbukti berfungsi dengan dampak keamanan yang besar.
Masalah yang dapat dieksploitasi dengan dampak berarti tetapi terbatas. Imbalan yang lebih tinggi memerlukan bukti dampak tingkat Tinggi atau Kritis.
Kerentanan yang dapat direproduksi dengan dampak keamanan terbatas dan terbukti.
Imbalan tambahan
Laporan yang sangat jelas, dampak luas, rangkaian serangan kreatif, atau kerja sama erat saat perbaikan dapat menerima imbalan tambahan.
Panduan pengiriman
Agar kami dapat menyelidiki dengan cepat, sertakan:
- 1Deskripsi kerentanan yang jelas
- 2Langkah berurutan untuk mereproduksi masalah
- 3URL, endpoint, atau layar aplikasi yang terdampak
- 4Lingkungan pengujian, peramban, sistem operasi, dan perangkat
- 5Tangkapan layar atau kode pembuktian, jika tersedia
- 6Penilaian Anda tentang potensi dampak
Kirim satu kerentanan per laporan dan buat laporan terpisah untuk masalah yang berbeda.
Aturan partisipasi
- 1Jangan mengakses, mengubah, atau menghapus data milik pengguna lain.
- 2Jangan menjalankan pemindai otomatis pada sistem produksi tanpa persetujuan tertulis sebelumnya.
- 3Jangan pernah mengungkapkan kerentanan, laporan, bukti, atau detail terkait kepada publik.
- 4Jangan gunakan AI atau model bahasa untuk menulis laporan. Kami menginginkan penelitian asli berdasarkan pengujian manual Anda sendiri; laporan spekulatif atau belum diverifikasi akan ditolak.
- 5Selalu bertindak dengan itikad baik.
Perlindungan peneliti
Peneliti yang bertindak dengan itikad baik dan mengikuti aturan tidak akan menghadapi tindakan hukum dari Tiquo. Program ini berada dalam kebijakan Tiquo; kami dapat mengubah atau menghentikannya dan keputusan kami bersifat final.
Kontak
Kirim laporan ke:
security@tiquo.coSetiap laporan ditinjau secara internal dalam 24 jam. Tanggapan resmi dapat memerlukan waktu lebih lama; penilaian awal diberikan dalam 10 hari kerja. Jangan kirim pesan pengingat status.