Tiquos program för sårbarhetsbelöningar
Har du hittat en sårbarhet i Tiquo? Vi välkomnar rapporter där du själv har verifierat problemet och kan visa dess säkerhetspåverkan.
Så fungerar det
Hitta och verifiera en möjlig sårbarhet i en Tiquo-produkt.
Skicka en detaljerad rapport till vårt säkerhetsteam.
Vi granskar rapporten internt inom 24 timmar; det formella svaret kan komma senare.
Teamet undersöker, återskapar och klassificerar problemet.
Vi meddelar dig allvarlighetsgraden och eventuell belöning.
Belöningen betalas inom 30 dagar efter klassificeringen.
Tiquo bedömer varje rapport utifrån faktisk påverkan, omfattning och hur sårbarheten kan utnyttjas. Bedömningen avgör allvarlighetsgrad och belöning.
Vi kan avvisa eller lämna rapporter obesvarade om de saknar verifierade fynd eller användbar information. Det gäller även AI-genererade rapporter.
Bug bounty-tester på Tiquos konton i produktion kräver skriftligt förhandsgodkännande från Tiquo. Om du utför någon aktivitet riktad mot dessa konton utan detta godkännande betalas ingen belöning ut, oavsett vad du hittar.
Detta omfattas
Programmet omfattar:
- tiquo.co
- Tiquos API-slutpunkter
- Tiquos mobilappar för iOS och Android
- Webbappen och kontrollpanelen på tiquo.app
- Autentiserings- och behörighetsflöden
- Betalnings- och datahantering
- Tiquos hårdvara
Detta omfattas inte
Följande berättigar inte till belöning:
- Tredjepartstjänster eller integrationer som Tiquo inte äger
- Social manipulering eller nätfiske mot Tiquo-anställda eller kunder
- Överbelastningsattacker (DoS/DDoS)
- Skräppost eller brister i anropsbegränsning utan direkt säkerhetspåverkan
- Isolerade projekt utan känsliga data eller kunduppgifter
- Sårbarheter som kräver föråldrade webbläsare eller plattformar
- Problem som redan har rapporterats eller är kända för oss
- Automatiserade, spekulativa eller AI-genererade rapporter utan ett fungerande och manuellt verifierat bevis
- Saknade säkerhetsheaders, harmlösa felmeddelanden eller interna detaljer, klickkapning på icke-känsliga sidor, versionsinformation, föråldrad programvara utan fungerande exploit och teoretiska XSS- eller CORS-fynd utan påvisad säkerhetspåverkan.
Belöningsnivåer
Belöningar gäller sårbarheter som går att återskapa och har påvisad säkerhetspåverkan. Vi bedömer hur problemet kan utnyttjas och vilken skada det kan orsaka. Ett skannerbetyg räcker inte. Rapporter utan betydande påverkan ersätts inte.
Bevisat intrång i centrala produktionssystem med omfattande påverkan.
En verifierad metod för att utnyttja sårbarheten med betydande säkerhetspåverkan.
Sårbarheter som kan utnyttjas och har betydande men begränsad påverkan. Högre belöningar kräver bevisad påverkan på hög eller kritisk nivå.
Mindre, reproducerbara sårbarheter med liten men påvisbar säkerhetspåverkan.
Extra belöningar
Tydliga rapporter, bred påverkan, väl underbyggda attackkedjor eller nära samarbete under åtgärdsarbetet kan ge en extra belöning.
Riktlinjer för rapportering
Ta med följande i rapporten:
- 1En tydlig beskrivning av sårbarheten
- 2Stegvisa anvisningar för att återskapa den
- 3Berörd URL, slutpunkt eller skärm
- 4Din testmiljö, webbläsare, operativsystem och enhet
- 5Skärmbilder eller kod som visar problemet, om möjligt
- 6Din bedömning av möjlig påverkan
Skicka en separat rapport för varje sårbarhet.
Regler för deltagande
- 1Öppna, ändra eller radera inte andra användares data.
- 2Kör inte automatiska skannrar mot produktionssystem utan skriftligt förhandsgodkännande.
- 3Offentliggör aldrig en sårbarhet, rapport, demonstration eller relaterade detaljer.
- 4Använd inte AI eller språkmodeller för att skriva rapporten. Rapporten ska bygga på din egen manuella testning. Spekulativa och obekräftade rapporter avvisas.
- 5Agera alltid i god tro.
Skydd för säkerhetsforskare
Tiquo vidtar inte rättsliga åtgärder mot säkerhetsforskare som agerar i god tro och följer programmets regler. Vi kan ändra eller avsluta programmet. Tiquos beslut är slutgiltiga.
Kontakt
Skicka rapporter till:
security@tiquo.coVarje rapport granskas internt inom 24 timmar. Ett formellt svar kan ta längre tid; en första bedömning lämnas inom 10 arbetsdagar. Skicka inte påminnelser om status.