Tiquos program for feilpremier
Har du bekreftet en sikkerhetssårbarhet gjennom manuell testing, vil vi gjerne høre fra deg. Her finner du reglene for rapportering og belønning.
Slik fungerer det
Du finner en mulig sikkerhetssårbarhet i et Tiquo-produkt.
Du sender en detaljert rapport til sikkerhetsteamet vårt.
Vi gjennomgår rapporten internt innen 24 timer; et formelt svar kan komme senere.
Teamet undersøker, gjenskaper og klassifiserer problemet.
Vi informerer deg om klassifiseringen og belønningen.
Belønningen utbetales innen 30 dager etter klassifiseringen.
Tiquo vurderer alvorlighetsgrad og belønning for hvert funn ut fra faktisk påvirkning, mulighet for utnyttelse og omfang.
Vi mottar mange uriktige KI-genererte rapporter. Rapporter uten reell eller nyttig informasjon kan bli avvist eller stå ubesvart.
Bug bounty-testing på Tiquos kontoer i produksjon krever skriftlig forhåndsgodkjenning fra Tiquo. Hvis du utfører aktiviteter rettet mot disse kontoene uten denne godkjenningen, utbetales ingen belønning, uansett hva du finner.
Dette omfattes
Programmet dekker følgende:
- tiquo.co
- Tiquos API-endepunkter
- Tiquos mobilapper for iOS og Android
- Nettappen og kontrollpanelet på tiquo.app
- Autentiserings- og autorisasjonsflyter
- Betalings- og databehandling
- Tiquo-maskinvare
Dette omfattes ikke
Følgende kvalifiserer ikke til belønning:
- Tredjepartstjenester eller integrasjoner som Tiquo ikke eier
- Sosial manipulering eller phishing mot Tiquo-ansatte eller -kunder
- Tjenestenektangrep (DoS/DDoS)
- Søppelpost eller problemer med begrensning av forespørsler uten direkte sikkerhetspåvirkning
- Isolerte prosjekter uten sensitive data eller kundeopplysninger
- Sårbarheter som krever utdaterte nettlesere eller plattformer
- Problemer som allerede er rapportert eller kjent for oss
- Automatiske, spekulative eller KI-genererte rapporter uten manuelt bekreftet bevis på at sårbarheten kan utnyttes
- Manglende sikkerhetsheadere, harmløse feilmeldinger eller interne detaljer, klikkapring på ikke-sensitive sider, versjonsinformasjon, utdatert programvare uten dokumentert utnyttelse og teoretiske XSS- eller CORS-funn uten dokumentert sikkerhetspåvirkning.
Premienivåer
For å kvalifisere til belønning må sårbarheten kunne gjenskapes og ha dokumentert sikkerhetspåvirkning. Vi vurderer konsekvensene og muligheten for utnyttelse. Navnet på sårbarheten eller vurderingen fra en skanner er ikke tilstrekkelig. Rapporter uten vesentlig påvirkning gir ingen utbetaling.
Dokumentert kompromittering av sentrale produksjonssystemer med omfattende påvirkning.
Dokumentert utnyttelse med vesentlig sikkerhetspåvirkning.
Feil som kan utnyttes, med vesentlig, men begrenset påvirkning. Høyere belønninger krever dokumentert påvirkning på høyt eller kritisk nivå.
Mindre, reproduserbare sårbarheter med liten, men påviselig sikkerhetspåvirkning.
Ekstrapremier
Særlig tydelige rapporter, omfattende påvirkning, kreative angrepskjeder eller tett samarbeid om retting kan gi ekstra belønning.
Retningslinjer for innsending
Ta med følgende, slik at vi kan undersøke funnet:
- 1En tydelig beskrivelse av sårbarheten
- 2Trinnvise instruksjoner for å gjenskape den
- 3Berørt URL, endepunkt eller skjerm
- 4Testmiljøet ditt, nettleser, operativsystem og enhet
- 5Skjermbilder eller kode som demonstrerer funnet, der det er mulig
- 6Din vurdering av mulig påvirkning
Send én rapport per sårbarhet.
Regler for deltakelse
- 1Ikke åpne, endre eller slett andre brukeres data.
- 2Ikke kjør automatiserte skannere mot produksjonssystemer uten skriftlig forhåndsgodkjenning.
- 3Ikke offentliggjør sårbarheten, rapporten, demonstrasjonen eller tilknyttede detaljer på noe tidspunkt.
- 4Ikke bruk KI eller språkmodeller til å skrive rapporten. Vi krever original forskning basert på egen manuell testing. Spekulative og ubekreftede rapporter avvises.
- 5Handle alltid i god tro.
Beskyttelse av sikkerhetsforskere
Sikkerhetsforskere som handler i god tro og følger reglene, vil ikke møte rettslige tiltak fra Tiquo. Programmet tilbys etter Tiquos skjønn; vi kan endre eller avslutte det, og beslutningene våre er endelige.
Kontakt
Send rapporter til:
security@tiquo.coVi gjennomgår alle rapporter internt innen 24 timer. Et formelt svar kan ta lengre tid; du kan forvente en første vurdering innen 10 virkedager. Ikke send purringer om status.