Tiquo ievainojamību atlīdzības programma
Novērtējam drošības pētnieku darbu. Ja esat manuāli pārbaudījis ievainojamību Tiquo platformā, ziņojiet mums saskaņā ar programmas noteikumiem.
Kā tā darbojas
Atrodiet iespējamu ievainojamību Tiquo produktā.
Nosūtiet mūsu drošības komandai detalizētu ziņojumu.
Mēs 24 stundu laikā to pārskatām iekšēji; oficiāla atbilde var sekot vēlāk.
Komanda izmeklē problēmu, atkārto aprakstītās darbības un nosaka tās smagumu.
Paziņojam klasifikāciju un atlīdzības apmēru.
Maksājums tiek veikts 30 dienu laikā pēc klasifikācijas.
Tiquo nosaka ievainojamības smagumu un atlīdzību, izvērtējot tās faktisko ietekmi, izmantošanas iespējas un skarto sistēmu apjomu.
Saņemam simtiem nepatiesu, ar mākslīgo intelektu ģenerētu ziņojumu. Paturam tiesības noraidīt ziņojumus vai neatbildēt uz tiem, ja tajos nav patiesas vai noderīgas informācijas.
Pirms testējat jebkuru Tiquo kontu produkcijas vidē, saņemiet Tiquo rakstisku atļauju. Par darbībām pret šiem kontiem bez šādas atļaujas atlīdzību neizmaksāsim neatkarīgi no atradumiem.
Kas ietilpst tvērumā
Programma attiecas uz:
- tiquo.co
- Tiquo API galapunkti
- Tiquo iOS un Android mobilās lietotnes
- tiquo.app tīmekļa lietotne un informācijas panelis
- Autentifikācijas un autorizācijas plūsmas
- Maksājumu un datu apstrāde
- Tiquo aparatūra
Kas neietilpst tvērumā
Par tālāk norādīto atlīdzība nepienākas:
- Trešo pušu pakalpojumi vai integrācijas, kas nepieder Tiquo
- Sociālā inženierija vai pikšķerēšana pret Tiquo darbiniekiem vai klientiem
- Pakalpojumatteices uzbrukumi (DoS/DDoS)
- Surogātpasts vai pieprasījumu biežuma ierobežošanas nepilnības bez tiešas ietekmes uz drošību
- Atsevišķi projekti bez sensitīviem vai klientu datiem
- Ievainojamības, kam vajadzīga novecojusi pārlūkprogramma vai platforma
- Jau ziņotas vai mums zināmas problēmas
- Automātiski, spekulatīvi vai ar AI radīti ziņojumi bez manuāli pārbaudīta pierādījuma, ka ievainojamība ir izmantojama
- Trūkstošas drošības galvenes, nekaitīgi kļūdu ziņojumi vai iekšējas detaļas, klikšķu pārtveršana nesensitīvās lapās, versiju atklāšana, novecojusi programmatūra bez funkcionējoša izmantošanas paņēmiena un teorētiski XSS vai CORS atradumi bez pierādītas ietekmes uz drošību.
Atlīdzību līmeņi
Atlīdzību piešķiram par atkārtojamām ievainojamībām ar pierādītu ietekmi uz drošību. Smagumu nosaka faktiskā ietekme un izmantošanas iespējas, nevis ievainojamības nosaukums vai skenera vērtējums. Par ziņojumiem bez būtiskas ietekmes atlīdzību neizmaksājam.
Pierādīta galveno produkcijas sistēmu kompromitēšana, kas rada plašas sekas.
Pierādīts ievainojamības izmantošanas veids ar būtisku ietekmi uz drošību.
Izmantojamas ievainojamības ar būtisku, bet ierobežotu ietekmi. Lielākai atlīdzībai jāpierāda augsta vai kritiska ietekme.
Nelielas, atkārtojamas ievainojamības ar ierobežotu, bet pierādāmu ietekmi uz drošību.
Papildu atlīdzības
Papildu atlīdzību varam piešķirt par īpaši skaidru ziņojumu, plašu ietekmi, radošu uzbrukumu ķēdi vai ciešu sadarbību problēmas novēršanā.
Ziņojuma iesniegšanas vadlīnijas
Lai varam ātrāk izmeklēt problēmu, ziņojumā iekļaujiet:
- 1Skaidru ievainojamības aprakstu
- 2Secīgas darbības problēmas atkārtošanai
- 3Skarto URL, galapunktu vai lietotnes ekrānu
- 4Testēšanas vidi, pārlūkprogrammu, operētājsistēmu un ierīci
- 5Ekrānattēlus vai demonstrācijas kodu, ja tie ir pieejami
- 6Savu novērtējumu par iespējamo ietekmi
Vienā ziņojumā iesniedziet vienu ievainojamību; par atšķirīgām problēmām sūtiet atsevišķus ziņojumus.
Dalības noteikumi
- 1Nepiekļūstiet citu lietotāju datiem, nemainiet un nedzēsiet tos.
- 2Bez iepriekšējas rakstiskas atļaujas neizmantojiet automatizētus skenerus pret produkcijas sistēmām.
- 3Nekad publiski neatklājiet ievainojamību, ziņojumu, pierādījumu vai saistītas detaļas.
- 4Ziņojuma rakstīšanai neizmantojiet AI vai valodas modeļus. Vēlamies oriģinālu izpēti, kas balstīta jūsu manuālajos testos; spekulatīvi un nepārbaudīti ziņojumi tiks noraidīti.
- 5Vienmēr rīkojieties labā ticībā.
Pētnieku aizsardzība
Tiquo nevērsīsies tiesā pret pētniekiem, kuri rīkojas labā ticībā un ievēro noteikumus. Programma darbojas pēc Tiquo ieskatiem; varam to mainīt vai izbeigt, un mūsu lēmumi ir galīgi.
Saziņa
Sūtiet ziņojumus uz:
security@tiquo.coKatru ziņojumu 24 stundu laikā pārskatām iekšēji. Oficiāla atbilde var prasīt ilgāku laiku; sākotnējo novērtējumu sniegsim 10 darbdienās. Nesūtiet atgādinājumus par statusu.