Programma di ricompense per bug di Tiquo
Accogliamo le segnalazioni responsabili di vulnerabilità verificate manualmente. Qui trovi le regole del programma e le informazioni da includere nella segnalazione.
Come funziona
Individua una possibile vulnerabilità di sicurezza in un prodotto Tiquo.
Invia una segnalazione dettagliata al nostro team di sicurezza.
Esaminiamo internamente la segnalazione entro 24 ore; la risposta formale può arrivare in seguito.
Il team analizza il problema, lo riproduce e ne valuta la gravità.
Ti comunichiamo la classificazione e l'importo della ricompensa.
Il pagamento viene effettuato entro 30 giorni dalla classificazione.
Tiquo determina gravità e ricompensa caso per caso, valutando impatto reale, sfruttabilità e portata.
Riceviamo centinaia di segnalazioni false generate dall’IA. Ci riserviamo il diritto di rifiutare o non rispondere a quelle che non forniscono informazioni reali o utili.
I test del programma bug bounty su qualsiasi account Tiquo in produzione richiedono la previa approvazione scritta di Tiquo. Qualsiasi attività rivolta a questi account senza tale approvazione comporterà il mancato pagamento di qualsiasi ricompensa, indipendentemente dai risultati ottenuti.
Elementi inclusi
Il programma copre quanto segue:
- tiquo.co
- Endpoint dell'API Tiquo
- Applicazioni mobili Tiquo per iOS e Android
- Applicazione web e dashboard tiquo.app
- Flussi di autenticazione e autorizzazione
- Processi di pagamento e gestione dei dati
- Hardware Tiquo
Elementi esclusi
I seguenti casi non danno diritto a ricompense:
- Servizi o integrazioni di terze parti non appartenenti a Tiquo
- Ingegneria sociale o phishing contro dipendenti o clienti Tiquo
- Attacchi denial of service (DoS/DDoS)
- Spam o limitazione della frequenza senza impatto diretto sulla sicurezza
- Progetti isolati senza dati sensibili o informazioni dei clienti
- Vulnerabilità che richiedono browser o piattaforme obsolete
- Problemi già segnalati o già noti
- Segnalazioni automatiche, speculative o generate dall’IA senza una prova funzionante verificata manualmente
- Header di sicurezza mancanti, messaggi di errore o dettagli interni innocui, clickjacking su pagine non sensibili, divulgazione di versioni, software obsoleto senza exploit funzionante e risultati teorici XSS o CORS senza impatto sulla sicurezza dimostrato.
Livelli di ricompensa
Solo le vulnerabilità riproducibili con un impatto sulla sicurezza dimostrato possono ricevere ricompense. La gravità dipende dall’impatto provato e dalla sfruttabilità, non dal nome della vulnerabilità o dal punteggio di uno scanner. Le segnalazioni senza impatto significativo non ricevono pagamenti.
Compromissione dimostrata di sistemi essenziali di produzione con impatto esteso.
Exploit funzionante dimostrato con un impatto sostanziale sulla sicurezza.
Problemi sfruttabili con impatto significativo ma limitato. Le ricompense superiori richiedono un impatto dimostrato di gravità alta o critica.
Vulnerabilità minori e riproducibili con un impatto sulla sicurezza ridotto ma dimostrabile.
Ricompense aggiuntive
Segnalazioni eccezionalmente chiare, impatto esteso, catene di attacco creative o stretta collaborazione durante la correzione possono ricevere una ricompensa aggiuntiva.
Linee guida per l'invio
Includi queste informazioni:
- 1Una descrizione chiara della vulnerabilità
- 2Istruzioni dettagliate per riprodurla
- 3L'URL, l'endpoint o la schermata interessati
- 4Il tuo ambiente di test, browser, sistema operativo e dispositivo
- 5Screenshot o codice dimostrativo, se disponibili
- 6La tua valutazione del potenziale impatto
Invia una sola vulnerabilità per segnalazione e crea segnalazioni separate per problemi diversi.
Regole di partecipazione
- 1Non accedere, modificare o eliminare dati di altri utenti.
- 2Non eseguire scanner automatici sui sistemi di produzione senza previa autorizzazione scritta.
- 3Non divulgare mai pubblicamente vulnerabilità, segnalazioni, prove o dettagli correlati.
- 4Non usare l’IA o modelli linguistici per scrivere la segnalazione. Invia una ricerca originale basata sui tuoi test manuali; rifiuteremo le segnalazioni speculative o non verificate.
- 5Agisci sempre in buona fede.
Protezione dei ricercatori
I ricercatori che agiscono in buona fede e rispettano le regole non subiranno azioni legali da parte di Tiquo. Il programma è a discrezione di Tiquo; possiamo modificarlo o terminarlo e le nostre decisioni sono definitive.
Contatti
Invia le segnalazioni a:
security@tiquo.coOgni segnalazione viene esaminata internamente entro 24 ore. La risposta formale può richiedere più tempo; riceverai una prima valutazione entro 10 giorni lavorativi. Non inviare solleciti sullo stato.