Программа Tiquo по вознаграждению за уязвимости
Мы принимаем ответственные сообщения об уязвимостях, которые исследователь подтвердил вручную. Перед проверкой ознакомьтесь с областью программы и правилами участия.
Как это работает
Найдите возможную уязвимость в продукте Tiquo.
Отправьте подробный отчёт команде безопасности.
Мы проверяем отчёт внутри компании в течение 24 часов; официальный ответ может последовать позже.
Команда исследует проблему, воспроизводит её и определяет серьёзность.
Мы сообщаем вам классификацию и сумму вознаграждения.
Выплата производится в течение 30 дней после классификации.
Tiquo определяет серьёзность и вознаграждение после оценки подтверждённого воздействия, возможности эксплуатации и масштаба проблемы.
Мы получаем сотни ложных отчётов, сгенерированных ИИ. Отчёты без подтверждённых или полезных сведений могут быть отклонены или оставлены без ответа.
Тестирование в рамках программы bug bounty на аккаунтах Tiquo в рабочей среде требует предварительного письменного разрешения Tiquo. Если вы выполняете любые действия, направленные на эти аккаунты, без такого разрешения, вознаграждение не будет выплачено независимо от ваших находок.
Что входит в область проверки
Программа распространяется на:
- tiquo.co
- Методы API Tiquo
- Мобильные приложения Tiquo для iOS и Android
- Веб-приложение и панель управления tiquo.app
- Процессы аутентификации и авторизации
- Обработка платежей и данных
- Оборудование Tiquo
Что не входит в область проверки
В следующих случаях вознаграждение не выплачивается:
- Сторонние сервисы и интеграции, не принадлежащие Tiquo
- Социальная инженерия или фишинг против сотрудников или клиентов Tiquo
- Атаки типа «отказ в обслуживании» (DoS/DDoS)
- Спам и недостатки ограничения частоты запросов без прямого влияния на безопасность
- Изолированные проекты без конфиденциальных или клиентских данных
- Уязвимости, требующие устаревших браузеров или платформ
- Уже сообщённые или известные нам проблемы
- Автоматические, предположительные или созданные ИИ отчёты без рабочего доказательства, подтверждённого вручную
- Отсутствующие защитные заголовки, безвредные ошибки или внутренние сведения, кликджекинг на страницах без чувствительных действий, раскрытие версий, устаревшее ПО без работающего эксплойта и теоретические XSS или CORS без доказанного влияния на безопасность.
Уровни вознаграждений
Вознаграждения предусмотрены за воспроизводимые уязвимости с доказанным влиянием на безопасность. Серьёзность определяется подтверждёнными последствиями и возможностью эксплуатации, а не названием уязвимости или оценкой сканера. Отчёты без значимого влияния не оплачиваются.
Подтверждённая компрометация ключевых рабочих систем с масштабными последствиями.
Подтверждённый работающий эксплойт с существенным влиянием на безопасность.
Уязвимости с подтверждённой возможностью эксплуатации и значимыми, но ограниченными последствиями. Для более высокого вознаграждения нужно доказать высокое или критическое влияние.
Незначительные воспроизводимые уязвимости с небольшим, но доказуемым влиянием на безопасность.
Дополнительные вознаграждения
Дополнительное вознаграждение возможно за особенно ясный отчёт, широкое воздействие, оригинальную цепочку атак или помощь при исправлении.
Правила подачи отчёта
Чтобы мы могли быстро провести проверку, укажите:
- 1Чёткое описание уязвимости
- 2Пошаговые инструкции по воспроизведению
- 3Затронутый URL, метод API или экран
- 4Среда тестирования, браузер, ОС и устройство
- 5Снимки экрана или демонстрационный код, если они доступны
- 6Оценку возможных последствий
В одном отчёте описывайте одну уязвимость, а разные проблемы отправляйте отдельно.
Правила участия
- 1Не получайте доступ к данным других пользователей, не изменяйте и не удаляйте их.
- 2Не запускайте автоматические сканеры против рабочих систем без предварительного письменного разрешения.
- 3Никогда не публикуйте уязвимость, отчёт, доказательство или связанные сведения.
- 4Не используйте ИИ или языковые модели для написания отчёта. Мы принимаем оригинальные исследования на основе ручного тестирования; предположительные и непроверенные отчёты отклоняются.
- 5Всегда действуйте добросовестно.
Защита исследователей
Tiquo не будет предпринимать юридических действий против добросовестных исследователей, соблюдающих правила. Программа действует по усмотрению Tiquo и может быть изменена или прекращена. Решения Tiquo окончательны.
Контакты
Отправляйте отчёты по адресу:
security@tiquo.coВнутренняя проверка каждого отчёта проводится в течение 24 часов. Официальный ответ может занять больше времени; первоначальная оценка предоставляется в течение 10 рабочих дней. Не отправляйте запросы о статусе.