Programul Tiquo de recompense pentru vulnerabilități
Primim rapoarte despre vulnerabilități verificate manual. Apreciem cercetarea care ne ajută să protejăm platforma și datele clienților.
Cum funcționează
Descoperiți o posibilă vulnerabilitate într-un produs Tiquo.
Trimiteți un raport detaliat echipei noastre de securitate.
Îl analizăm intern în 24 de ore; răspunsul oficial poate urma mai târziu.
Echipa investighează, reproduce și clasifică problema.
Vă comunicăm clasificarea și suma recompensei.
Plata se face în termen de 30 de zile de la clasificare.
Tiquo stabilește severitatea și recompensa după ce evaluează impactul real, posibilitatea de exploatare și aria afectată.
Primim sute de rapoarte false generate de IA. Ne rezervăm dreptul de a respinge sau de a nu răspunde rapoartelor care nu conțin informații reale sau utile.
Testarea în cadrul programului bug bounty pe orice cont Tiquo din mediul de producție necesită aprobarea prealabilă în scris din partea Tiquo. Dacă desfășurați orice activitate care vizează aceste conturi fără această aprobare, nu se va plăti nicio recompensă, indiferent de constatările dumneavoastră.
Ce intră în domeniu
Programul acoperă:
- tiquo.co
- Endpointurile API Tiquo
- Aplicațiile mobile Tiquo pentru iOS și Android
- Aplicația web și tabloul de bord tiquo.app
- Fluxurile de autentificare și autorizare
- Procesarea plăților și a datelor
- Hardware-ul Tiquo
Ce nu intră în domeniu
Următoarele cazuri nu sunt eligibile pentru recompense:
- Servicii sau integrări terțe care nu aparțin Tiquo
- Inginerie socială sau phishing împotriva angajaților sau clienților Tiquo
- Atacuri de refuz al serviciului (DoS/DDoS)
- Spam sau probleme de limitare a numărului de cereri, fără impact direct asupra securității
- Proiecte izolate fără date sensibile sau informații despre clienți
- Vulnerabilități care necesită browsere sau platforme învechite
- Probleme deja raportate sau deja cunoscute
- Rapoarte automate, speculative sau generate de IA, fără o demonstrație funcțională verificată manual
- Antete de securitate lipsă, mesaje de eroare sau detalii interne inofensive, clickjacking pe pagini nesensibile, divulgarea versiunilor, software învechit fără exploit funcțional și constatări teoretice XSS sau CORS fără impact de securitate demonstrat.
Niveluri de recompensă
Recompensăm doar vulnerabilități care pot fi reproduse și au un impact de securitate demonstrat. Severitatea depinde de impact și de posibilitatea de exploatare, nu de denumirea vulnerabilității sau de scorul unui scaner. Rapoartele fără impact semnificativ nu sunt remunerate.
Compromiterea dovedită a sistemelor esențiale de producție cu impact extins.
Exploit funcțional dovedit, cu impact de securitate substanțial.
Vulnerabilități exploatabile cu impact semnificativ, dar limitat. Recompensele din categoriile superioare necesită un impact ridicat sau critic demonstrat.
Vulnerabilități minore, reproductibile, cu impact de securitate redus, dar demonstrabil.
Recompense suplimentare
Putem acorda o recompensă suplimentară pentru un raport deosebit de clar, un impact extins, un lanț de atac ingenios sau o colaborare strânsă la remediere.
Instrucțiuni de raportare
Pentru a ne ajuta să investigăm, includeți:
- 1O descriere clară a vulnerabilității
- 2Pași detaliați de reproducere
- 3URL-ul, endpointul sau ecranul afectat
- 4Detalii despre mediul de testare: browser, sistem de operare și dispozitiv
- 5Capturi de ecran sau cod demonstrativ, dacă este posibil
- 6Evaluarea dumneavoastră privind impactul potențial
Includeți o singură vulnerabilitate în fiecare raport. Trimiteți separat problemele diferite.
Reguli de participare
- 1Nu accesați, modificați sau ștergeți datele altor utilizatori.
- 2Nu rulați scanere automate asupra sistemelor de producție fără aprobare scrisă prealabilă.
- 3Nu divulgați public nicio vulnerabilitate, raport, dovadă sau informație asociată.
- 4Nu folosiți IA sau modele lingvistice pentru redactarea raportului. Solicităm cercetare originală, bazată pe testarea manuală efectuată de dumneavoastră. Rapoartele speculative sau neverificate vor fi respinse.
- 5Acționați întotdeauna cu bună-credință.
Protecția cercetătorilor
Cercetătorii care acționează cu bună-credință și respectă regulile nu vor face obiectul acțiunilor juridice ale Tiquo. Programul este oferit la discreția Tiquo; îl putem modifica sau încheia, iar deciziile noastre sunt finale.
Contact
Trimiteți raportările la:
security@tiquo.coAnalizăm intern fiecare raport în 24 de ore. Răspunsul oficial poate dura mai mult; veți primi evaluarea inițială în cel mult 10 zile lucrătoare. Nu trimiteți mesaje de reamintire pentru a solicita stadiul evaluării.