Tiquo-programma voor beveiligingsbeloningen
We ontvangen graag meldingen van handmatig bevestigde kwetsbaarheden. Hieronder lees je hoe je onderzoek en melding aan de voorwaarden van het programma voldoen.
Hoe het werkt
Je ontdekt een mogelijke beveiligingskwetsbaarheid in een Tiquo-product.
Je stuurt een gedetailleerd rapport naar ons beveiligingsteam.
We bekijken het rapport binnen 24 uur intern; een formeel antwoord kan later volgen.
Ons team onderzoekt, reproduceert en classificeert het probleem.
We laten je weten hoe we het probleem hebben ingedeeld en welke beloning daarbij hoort.
De betaling vindt binnen 30 dagen na classificatie plaats.
Tiquo bepaalt de ernst en beloning na een afzonderlijke beoordeling van de werkelijke impact, misbruikbaarheid en het bereik.
Omdat we honderden valse, door AI gegenereerde meldingen ontvangen, behouden we ons het recht voor om meldingen af te wijzen of niet te beantwoorden als ze geen echte of waardevolle informatie bevatten.
Bugbountytests op Tiquo-accounts in productie vereisen voorafgaande schriftelijke toestemming van Tiquo. Als u zonder die toestemming activiteiten uitvoert die op deze accounts zijn gericht, wordt er geen beloning uitbetaald, ongeacht uw bevindingen.
Binnen het bereik
Het programma omvat:
- tiquo.co
- API-eindpunten van Tiquo
- Tiquo-apps voor iOS en Android
- De webapp en het dashboard op tiquo.app
- Authenticatie- en autorisatiestromen
- Betalings- en gegevensverwerking
- Tiquo-hardware
Buiten het bereik
De volgende gevallen komen niet voor een beloning in aanmerking:
- Diensten of integraties van derden die geen eigendom van Tiquo zijn
- Social engineering of phishing tegen Tiquo-medewerkers of -klanten
- Denial-of-service-aanvallen (DoS/DDoS)
- Spam of snelheidsbeperkingen zonder directe beveiligingsimpact
- Afzonderlijke projecten zonder gevoelige of klantgegevens
- Kwetsbaarheden waarvoor verouderde browsers of platforms nodig zijn
- Problemen die al gemeld of bij ons bekend zijn
- Geautomatiseerde, speculatieve of door AI gemaakte meldingen zonder handmatig geverifieerd werkend bewijs
- Ontbrekende beveiligingsheaders, onschuldige foutmeldingen of interne details, clickjacking op niet-gevoelige pagina’s, versie-informatie, verouderde software zonder werkende exploit en theoretische XSS- of CORS-bevindingen zonder aangetoonde beveiligingsimpact.
Beloningsniveaus
Alleen reproduceerbare kwetsbaarheden met aangetoonde beveiligingsimpact komen in aanmerking voor beloningen. De ernst hangt af van bewezen impact en uitbuitbaarheid, niet van de naam van de kwetsbaarheid of de score van een scanner. Meldingen zonder betekenisvolle impact worden niet betaald.
Bewezen compromittering van kernsystemen in productie met brede impact.
Bewezen werkende exploit met aanzienlijke beveiligingsimpact.
Uitbuitbare problemen met aantoonbare maar beperkte impact. Voor een hogere beloning moet de impact aantoonbaar Hoog of Kritiek zijn.
Kleine, reproduceerbare kwetsbaarheden met geringe maar aantoonbare beveiligingsimpact.
Extra beloningen
Een uitzonderlijk duidelijke melding, brede impact, creatieve aanvalsketen of nauwe samenwerking bij het herstel kan een extra beloning opleveren.
Richtlijnen voor meldingen
Vermeld het volgende zodat we snel onderzoek kunnen doen:
- 1Een duidelijke beschrijving van de kwetsbaarheid
- 2Stapsgewijze instructies om het probleem te reproduceren
- 3De getroffen URL, het eindpunt of het scherm
- 4Je testomgeving, browser, besturingssysteem en apparaat
- 5Waar mogelijk schermafbeeldingen of bewijscode
- 6Je beoordeling van de mogelijke impact
Meld één kwetsbaarheid per rapport en stuur voor verschillende problemen afzonderlijke rapporten.
Deelnamevoorwaarden
- 1Open, wijzig of verwijder geen gegevens van andere gebruikers.
- 2Voer zonder voorafgaande schriftelijke toestemming geen geautomatiseerde scans uit tegen productiesystemen.
- 3Maak nooit een kwetsbaarheid, rapport, bewijs of verwante details openbaar.
- 4Gebruik geen AI of taalmodellen om het rapport te schrijven. We verwachten oorspronkelijk onderzoek op basis van je eigen handmatige tests; speculatieve en onbevestigde meldingen worden afgewezen.
- 5Handel altijd te goeder trouw.
Bescherming van onderzoekers
Tiquo onderneemt geen juridische stappen tegen onderzoekers die te goeder trouw handelen en de regels volgen. We bieden dit programma naar eigen inzicht aan en kunnen het wijzigen of beëindigen. Onze beslissingen zijn definitief.
Contact
Stuur meldingen naar:
security@tiquo.coElke melding wordt binnen 24 uur intern bekeken. Een formeel antwoord kan langer duren; je ontvangt binnen 10 werkdagen een eerste beoordeling. Stuur geen herinneringen over de status.