Tiquo güvenlik açığı ödül programı
Tiquo ürünlerinde kendi testlerinizle doğruladığınız güvenlik açıklarını bize bildirebilirsiniz. Başvurmadan önce program kapsamını ve bildirim kurallarını inceleyin.
Nasıl çalışır
Bir Tiquo ürününde olası bir güvenlik açığı bulursunuz.
Güvenlik ekibimize ayrıntılı bir rapor gönderirsiniz.
Raporu 24 saat içinde kurum içinde inceleriz; resmî yanıt daha sonra gelebilir.
Ekibimiz sorunu inceler, yeniden üretir ve önem derecesini belirler.
Sınıflandırmayı ve ödül tutarını size bildiririz.
Ödeme sınıflandırmadan sonraki 30 gün içinde yapılır.
Tiquo, açığın önem derecesini ve ödülünü belirlerken gerçek etkisini, istismar edilebilirliğini ve kapsamını ayrı ayrı değerlendirir.
Yapay zekâyla hazırlanmış yüzlerce asılsız rapor aldık. Doğrulanmış bir bulgu veya değerlendirmeye yarayan bilgi içermeyen raporları reddetme ya da yanıtsız bırakma hakkımızı saklı tutuyoruz.
Üretim ortamındaki Tiquo hesaplarında hata ödülü programı kapsamında test yapmak için Tiquo’dan önceden yazılı onay alınması gerekir. Bu onay olmadan söz konusu hesapları hedef alan herhangi bir faaliyette bulunursanız, bulgularınız ne olursa olsun ödül ödenmez.
Kapsama girenler
Program şunları kapsar:
- tiquo.co
- Tiquo API uç noktaları
- Tiquo iOS ve Android mobil uygulamaları
- tiquo.app web uygulaması ve yönetim paneli
- Kimlik doğrulama ve yetkilendirme akışları
- Ödeme ve veri işleme süreçleri
- Tiquo donanımı
Kapsam dışındakiler
Aşağıdakiler ödüle uygun değildir:
- Tiquo'ya ait olmayan üçüncü taraf hizmetleri veya entegrasyonları
- Tiquo çalışanlarına veya müşterilerine yönelik sosyal mühendislik veya kimlik avı
- Hizmet engelleme saldırıları (DoS/DDoS)
- Doğrudan güvenlik etkisi olmayan spam veya hız sınırlaması
- Hassas ya da müşteri verisi içermeyen bağımsız projeler
- Eski tarayıcı veya platform gerektiren açıklar
- Daha önce bildirilmiş veya bildiğimiz sorunlar
- Çalıştığı elle doğrulanmış bir kanıt içermeyen otomatik, varsayımsal veya yapay zekâyla hazırlanmış raporlar
- Eksik güvenlik başlıkları, zararsız hata mesajları veya iç ayrıntılar, hassas olmayan sayfalarda tıklama kaçırma, sürüm ifşası, çalışan istismar yöntemi olmayan eski yazılımlar ve güvenlik etkisi kanıtlanmamış teorik XSS veya CORS bulguları.
Ödül seviyeleri
Yalnızca güvenlik etkisi kanıtlanmış ve yeniden üretilebilen açıklar ödüle uygundur. Önem derecesini, açığın adı veya tarama aracının puanı değil, kanıtlanmış etkisi ve istismar edilebilirliği belirler. Anlamlı güvenlik etkisi olmayan raporlara ödeme yapılmaz.
Temel üretim sistemlerinin yaygın etkiye sahip, kanıtlanmış ihlali.
Ciddi güvenlik etkisine sahip, çalıştığı kanıtlanmış istismar yöntemi.
Anlamlı ancak sınırlı etkiye sahip istismar edilebilir sorunlar. Daha yüksek ödüller kanıtlanmış Yüksek veya Kritik etki gerektirir.
Sınırlı ancak gösterilebilir güvenlik etkisi olan, yeniden üretilebilir açıklar.
Ek ödüller
Özellikle açık ve ayrıntılı bir rapor, geniş kapsamlı etki, yaratıcı bir saldırı zinciri veya düzeltme sürecindeki yakın iş birliği için ek ödül verilebilir.
Gönderim yönergeleri
Hızlı inceleme yapabilmemiz için şunları ekleyin:
- 1Güvenlik açığının anlaşılır bir açıklaması
- 2Sorunu yeniden üretmek için izlenecek adımlar
- 3Etkilenen URL, uç nokta veya ekran
- 4Test ortamınız, tarayıcınız, işletim sisteminiz ve cihazınız
- 5Varsa ekran görüntüleri veya açığı gösteren örnek kod
- 6Olası etkiye ilişkin değerlendirmeniz
Her raporda tek bir açık bildirin ve farklı sorunları ayrı ayrı gönderin.
Katılım kuralları
- 1Başka kullanıcıların verilerine erişmeyin, bunları değiştirmeyin veya silmeyin.
- 2Önceden yazılı izin almadan üretim sistemlerine karşı otomatik tarayıcı çalıştırmayın.
- 3Bir güvenlik açığını, raporu, kanıtı veya ilgili ayrıntıyı hiçbir zaman kamuya açıklamayın.
- 4Raporu yazarken yapay zekâ veya dil modeli kullanmayın. Kendi elle yaptığınız testlere dayanan özgün araştırmalar bekliyoruz. Varsayımsal ve doğrulanmamış raporları reddediyoruz.
- 5Her zaman iyi niyetle hareket edin.
Araştırmacı koruması
İyi niyetle hareket eden ve kurallara uyan araştırmacılara karşı Tiquo hukuki işlem başlatmaz. Program Tiquo'nun takdirindedir; değiştirebilir veya sonlandırabiliriz ve kararlarımız kesindir.
İletişim
Raporları şu adrese gönderin:
security@tiquo.coHer rapor 24 saat içinde kurum içinde incelenir. Resmî yanıt daha uzun sürebilir; ilk değerlendirme 10 iş günü içinde verilir. Durum için hatırlatma göndermeyin.