Програма Tiquo з винагород за вразливості
Ми цінуємо роботу дослідників безпеки та приймаємо відповідальні повідомлення про вразливості, підтверджені ручним тестуванням.
Як це працює
Ви знаходите можливу вразливість у продукті Tiquo.
Ви надсилаєте детальний звіт нашій команді безпеки.
Ми переглядаємо звіт усередині компанії протягом 24 годин; офіційна відповідь може надійти пізніше.
Команда досліджує, відтворює й класифікує проблему.
Ми повідомляємо класифікацію та суму винагороди.
Оплата здійснюється протягом 30 днів після класифікації.
Tiquo визначає рівень серйозності та розмір винагороди після оцінки фактичного впливу, можливості експлуатації та масштабу вразливості.
Оскільки ми отримуємо сотні неправдивих звітів, згенерованих ШІ, ми залишаємо за собою право відхиляти звіти або не відповідати на них, якщо вони не містять реальної чи цінної інформації.
Тестування в межах програми bug bounty на облікових записах Tiquo у виробничому середовищі потребує попереднього письмового дозволу Tiquo. Якщо ви виконуєте будь-які дії, спрямовані на ці облікові записи, без такого дозволу, винагороду не буде виплачено незалежно від ваших знахідок.
Що входить до охоплення
Програма охоплює:
- tiquo.co
- Кінцеві точки API Tiquo
- Мобільні застосунки Tiquo для iOS та Android
- Вебзастосунок і панель tiquo.app
- Процеси автентифікації та авторизації
- Обробка платежів і даних
- Обладнання Tiquo
Що не входить до охоплення
У наведених випадках винагорода не надається:
- Сторонні сервіси або інтеграції, які не належать Tiquo
- Соціальна інженерія або фішинг проти працівників або клієнтів Tiquo
- Атаки відмови в обслуговуванні (DoS/DDoS)
- Спам або недоліки обмеження частоти запитів без прямого впливу на безпеку
- Відокремлені проєкти без конфіденційних чи клієнтських даних
- Вразливості, що потребують застарілого браузера або платформи
- Уже повідомлені або відомі нам проблеми
- Автоматично згенеровані звіти, припущення або звіти, створені ШІ, без робочого доказу експлуатації, перевіреного вручну
- Відсутні захисні заголовки, нешкідливі повідомлення про помилки чи внутрішні деталі, клікджекінг на нечутливих сторінках, розкриття версій, застаріле ПЗ без робочого експлойту та теоретичні XSS чи CORS без доведеного впливу на безпеку.
Рівні винагород
Лише відтворювані вразливості з доведеним впливом на безпеку відповідають умовам винагороди. Серйозність залежить від доведеного впливу та можливості експлуатації, а не від назви вразливості чи оцінки сканера. Звіти без значущого впливу не оплачуються.
Доведена компрометація ключових систем робочого середовища з масштабними наслідками.
Підтверджений робочий експлойт із суттєвим впливом на безпеку.
Придатні до експлуатації проблеми зі значущим, але обмеженим впливом. Вищі винагороди вимагають доведеного високого або критичного впливу.
Незначні відтворювані вразливості з невеликим, але доказовим впливом на безпеку.
Додаткові винагороди
За особливо чіткий звіт, виявлення масштабного впливу, поєднання кількох вразливостей в одну атаку або тісну співпрацю під час виправлення може бути призначена додаткова винагорода.
Правила надсилання
Щоб ми могли швидко провести перевірку, додайте:
- 1Чіткий опис вразливості
- 2Покрокові інструкції з відтворення
- 3Уражений URL, кінцева точка або екран
- 4Середовище тестування, браузер, ОС і пристрій
- 5За можливості знімки екрана або демонстраційний код
- 6Ваша оцінка можливого впливу
В одному звіті описуйте одну вразливість, а різні проблеми надсилайте окремо.
Правила участі
- 1Не отримуйте доступ до даних інших користувачів, не змінюйте й не видаляйте їх.
- 2Не запускайте автоматичні сканери проти систем робочого середовища без попереднього письмового дозволу.
- 3Ніколи не оприлюднюйте вразливість, звіт, доказ або пов'язані подробиці.
- 4Не використовуйте ШІ або мовні моделі для написання звіту. Нам потрібне ваше власне дослідження на основі ручного тестування. Звіти з припущеннями та неперевіреними даними відхиляються.
- 5Завжди дійте добросовісно.
Захист дослідників
Tiquo не вживатиме юридичних заходів проти дослідників, які діють добросовісно та дотримуються правил. Програма діє на розсуд Tiquo; ми можемо змінити або завершити її, а наші рішення є остаточними.
Контакти
Надсилайте звіти на адресу:
security@tiquo.coМи проводимо внутрішню перевірку кожного звіту протягом 24 годин. Офіційна відповідь може надійти пізніше; початкову оцінку надамо протягом 10 робочих днів. Не надсилайте нагадувань про стан розгляду.