Program nagród Tiquo za błędy
Przyjmujemy odpowiedzialne zgłoszenia podatności potwierdzonych własnymi testami. Poniżej znajdziesz zakres programu, wymagania i zasady wypłaty nagród.
Jak to działa
Znajdujesz potencjalną podatność w produkcie Tiquo.
Wysyłasz szczegółowy raport naszemu zespołowi bezpieczeństwa.
Przeglądamy raport wewnętrznie w ciągu 24 godzin; formalna odpowiedź może nadejść później.
Zespół bada, odtwarza i klasyfikuje problem.
Informujemy Cię o klasyfikacji i kwocie nagrody.
Płatność następuje w ciągu 30 dni od klasyfikacji.
Tiquo określa wagę problemu i nagrodę po ocenie jego rzeczywistego wpływu, możliwości wykorzystania oraz zakresu.
Otrzymujemy setki fałszywych zgłoszeń wygenerowanych przez AI. Zastrzegamy sobie prawo do odrzucenia lub pozostawienia bez odpowiedzi raportów, które nie zawierają rzeczywistych ani wartościowych informacji.
Testy w ramach programu bug bounty na kontach Tiquo w środowisku produkcyjnym wymagają uprzedniej pisemnej zgody Tiquo. Jeśli podejmiesz jakiekolwiek działania wymierzone w te konta bez takiej zgody, nagroda nie zostanie wypłacona, niezależnie od Twoich ustaleń.
Zakres programu
Program obejmuje:
- tiquo.co
- Punkty końcowe API Tiquo
- Aplikacje mobilne Tiquo na iOS i Android
- Aplikacja internetowa i panel tiquo.app
- Procesy uwierzytelniania i autoryzacji
- Obsługa płatności i danych
- Sprzęt Tiquo
Poza zakresem
Poniższe przypadki nie kwalifikują się do nagrody:
- Usługi lub integracje zewnętrzne, które nie należą do Tiquo
- Socjotechnika lub phishing wobec pracowników lub klientów Tiquo
- Ataki odmowy usługi (DoS/DDoS)
- Spam lub ograniczanie liczby żądań bez bezpośredniego wpływu na bezpieczeństwo
- Oddzielne projekty bez danych wrażliwych lub informacji klientów
- Podatności wymagające przestarzałej przeglądarki lub platformy
- Problemy już zgłoszone lub nam znane
- Raporty automatyczne, spekulacyjne lub wygenerowane przez AI bez działającego dowodu potwierdzonego ręcznymi testami
- Brak nagłówków bezpieczeństwa, nieszkodliwe komunikaty błędów lub szczegóły wewnętrzne, clickjacking na niewrażliwych stronach, ujawnienie wersji, przestarzałe oprogramowanie bez działającego exploita oraz teoretyczne zgłoszenia XSS lub CORS bez wykazanego wpływu na bezpieczeństwo.
Poziomy nagród
Nagradzamy podatności, które można odtworzyć i których wpływ na bezpieczeństwo został wykazany. Wagę problemu określamy na podstawie dowodów i możliwości wykorzystania luki. Sama nazwa podatności lub wynik skanera nie wystarcza. Nie wypłacamy nagród za zgłoszenia bez istotnego wpływu.
Udowodnione naruszenie kluczowych systemów produkcyjnych o szerokim zasięgu.
Potwierdzony działający exploit o istotnym wpływie na bezpieczeństwo.
Podatności możliwe do wykorzystania o istotnym, lecz ograniczonym wpływie. Wyższe nagrody wymagają udowodnionego wpływu wysokiego lub krytycznego.
Drobne, odtwarzalne podatności o niewielkim, lecz wykazanym wpływie na bezpieczeństwo.
Nagrody dodatkowe
Możemy przyznać dodatkową nagrodę za szczególnie jasny raport, szeroki wpływ problemu, pomysłowy łańcuch ataku lub ścisłą współpracę przy naprawie.
Wytyczne zgłoszenia
Abyśmy mogli szybko zbadać problem, dołącz:
- 1Jasny opis podatności
- 2Instrukcje odtworzenia krok po kroku
- 3Adres URL, punkt końcowy lub ekran, którego dotyczy problem
- 4Środowisko testowe, przeglądarka, system i urządzenie
- 5Zrzuty ekranu lub kod pokazujący problem, jeśli to możliwe
- 6Twoja ocena potencjalnego wpływu
Każdą podatność zgłaszaj w osobnym raporcie.
Zasady udziału
- 1Nie uzyskuj dostępu do danych innych użytkowników, nie zmieniaj ich ani nie usuwaj.
- 2Bez wcześniejszej pisemnej zgody nie uruchamiaj automatycznych skanerów wobec systemów produkcyjnych.
- 3Nigdy nie ujawniaj publicznie podatności, raportu, dowodu ani powiązanych szczegółów.
- 4Nie używaj AI ani modeli językowych do pisania raportu. Oczekujemy oryginalnych badań opartych na własnych testach ręcznych; raporty spekulacyjne i niepotwierdzone odrzucamy.
- 5Zawsze działaj w dobrej wierze.
Ochrona badaczy
Tiquo nie podejmie działań prawnych wobec badaczy działających w dobrej wierze i zgodnie z zasadami. Program działa według uznania Tiquo; możemy go zmienić lub zakończyć, a nasze decyzje są ostateczne.
Kontakt
Wyślij zgłoszenie na:
security@tiquo.coKażdy raport przeglądamy wewnętrznie w ciągu 24 godzin. Formalna odpowiedź może potrwać dłużej; wstępną ocenę otrzymasz w ciągu 10 dni roboczych. Nie wysyłaj ponagleń o status.