Program odmien Tiquo za bezpečnostné chyby
Vítame hlásenia zraniteľností, ktoré ste sami overili. Prečítajte si rozsah programu, pravidlá testovania a postup nahlásenia.
Ako to funguje
Nájdete možnú bezpečnostnú chybu v produkte Tiquo.
Odošlete podrobné hlásenie nášmu bezpečnostnému tímu.
Hlásenie interne skontrolujeme do 24 hodín; formálna odpoveď môže prísť neskôr.
Tím problém preskúma, pokúsi sa ho reprodukovať a určí jeho závažnosť.
Oznámime vám závažnosť problému a výšku odmeny.
Odmenu vyplatíme do 30 dní od určenia závažnosti.
Závažnosť aj odmenu určuje Tiquo po vlastnom posúdení skutočného dopadu, zneužiteľnosti a rozsahu problému.
Dostávame stovky nepravdivých hlásení vytvorených pomocou AI. Hlásenia bez overených alebo užitočných informácií môžeme odmietnuť alebo nechať bez odpovede.
Testovanie v rámci programu bug bounty na produkčných účtoch Tiquo vyžaduje predchádzajúci písomný súhlas spoločnosti Tiquo. Ak bez tohto súhlasu vykonáte akúkoľvek činnosť zameranú na tieto účty, nebude vám vyplatená žiadna odmena bez ohľadu na vaše zistenia.
Čo patrí do rozsahu
Program zahŕňa:
- tiquo.co
- Koncové body API Tiquo
- Mobilné aplikácie Tiquo pre iOS a Android
- Webová aplikácia a panel tiquo.app
- Prihlasovanie a overovanie prístupových oprávnení
- Spracovanie platieb a údajov
- Hardvér Tiquo
Čo nepatrí do rozsahu
Za nasledujúce prípady sa odmena neposkytuje:
- Služby alebo integrácie tretích strán, ktoré nevlastní Tiquo
- Sociálne inžinierstvo alebo phishing proti zamestnancom alebo zákazníkom Tiquo
- Útoky odmietnutia služby (DoS/DDoS)
- Spam alebo nedostatky v obmedzovaní počtu požiadaviek bez priameho bezpečnostného dopadu
- Izolované projekty bez citlivých alebo zákazníckych údajov
- Zraniteľnosti vyžadujúce zastaraný prehliadač alebo platformu
- Už nahlásené alebo nám známe problémy
- Automatické, špekulatívne alebo pomocou AI vytvorené hlásenia bez ručne overeného dôkazu zneužitia
- Chýbajúce bezpečnostné hlavičky, neškodné chybové správy či interné podrobnosti, clickjacking na necitlivých stránkach, zverejnenie verzií, zastaraný softvér bez funkčného exploitu a teoretické nálezy XSS či CORS bez preukázaného bezpečnostného dopadu.
Úrovne odmien
Odmeňujeme len reprodukovateľné zraniteľnosti s preukázaným bezpečnostným dopadom. Závažnosť určujeme podľa dopadu a zneužiteľnosti, nie podľa názvu chyby alebo skóre skenera. Za hlásenia bez významného dopadu odmenu neposkytujeme.
Preukázané kompromitovanie kľúčových produkčných systémov s rozsiahlym dopadom.
Preukázaný funkčný exploit s podstatným bezpečnostným dopadom.
Zneužiteľné chyby s významným, ale obmedzeným dopadom. Vyššie odmeny vyžadujú preukázaný vysoký alebo kritický dopad.
Drobné, reprodukovateľné zraniteľnosti s malým, ale preukázateľným bezpečnostným dopadom.
Dodatočné odmeny
Dodatočnú odmenu môžeme udeliť za mimoriadne jasné hlásenie, rozsiahly dopad, nápadité prepojenie viacerých útokov alebo úzku spoluprácu pri oprave.
Pokyny na odoslanie
Aby sme mohli problém rýchlo preskúmať, uveďte:
- 1Jasný opis zraniteľnosti
- 2Podrobný postup na zopakovanie chyby
- 3Dotknutá URL, koncový bod alebo obrazovka
- 4Testovacie prostredie, prehliadač, systém a zariadenie
- 5Snímky obrazovky alebo ukážkový kód, ak sú k dispozícii
- 6Vaše posúdenie možného vplyvu
Každú zraniteľnosť opíšte v samostatnom hlásení.
Pravidlá účasti
- 1Nepristupujte k údajom iných používateľov, nemeňte ich ani neodstraňujte.
- 2Bez predchádzajúceho písomného súhlasu nespúšťajte automatické skenery proti produkčným systémom.
- 3Nikdy nezverejňujte zraniteľnosť, hlásenie, dôkaz ani súvisiace podrobnosti.
- 4Na písanie hlásenia nepoužívajte AI ani jazykové modely. Očakávame pôvodný výskum založený na vašom ručnom testovaní; špekulatívne a neoverené hlásenia odmietneme.
- 5Vždy konajte v dobrej viere.
Ochrana výskumníkov
Výskumníci konajúci v dobrej viere a dodržiavajúci pravidlá nebudú čeliť právnym krokom zo strany Tiquo. Program funguje podľa uváženia Tiquo; môžeme ho zmeniť alebo ukončiť a naše rozhodnutia sú konečné.
Kontakt
Hlásenia posielajte na:
security@tiquo.coKaždé hlásenie interne skontrolujeme do 24 hodín. Formálna odpoveď môže prísť neskôr; prvé posúdenie dostanete do 10 pracovných dní. Neposielajte opakované žiadosti o informácie o stave hlásenia.