Chương trình thưởng lỗi bảo mật của Tiquo
Chúng tôi hoan nghênh các nhà nghiên cứu báo cáo có trách nhiệm những lỗ hổng đã được kiểm chứng thủ công trong Tiquo.
Cách thức hoạt động
Bạn phát hiện một lỗ hổng bảo mật tiềm ẩn trong sản phẩm Tiquo.
Bạn gửi báo cáo chi tiết cho đội ngũ bảo mật.
Chúng tôi xem xét nội bộ trong 24 giờ; phản hồi chính thức có thể đến sau.
Đội ngũ điều tra, tái hiện và phân loại vấn đề.
Chúng tôi thông báo phân loại và mức thưởng.
Thanh toán được thực hiện trong 30 ngày sau khi phân loại.
Tiquo đánh giá tác động thực tế, khả năng khai thác và phạm vi của từng báo cáo để quyết định mức độ nghiêm trọng và phần thưởng.
Chúng tôi nhận được hàng trăm báo cáo không chính xác do AI tạo ra. Tiquo có quyền từ chối hoặc không trả lời báo cáo không có thông tin thực tế hoặc giá trị xác minh.
Bạn phải được Tiquo chấp thuận trước bằng văn bản để kiểm thử trên bất kỳ tài khoản Tiquo nào đang hoạt động trong môi trường chính thức. Mọi hoạt động nhắm vào các tài khoản này khi chưa được chấp thuận đều không được nhận thưởng, bất kể phát hiện là gì.
Nội dung trong phạm vi
Chương trình bao gồm:
- tiquo.co
- Các endpoint API của Tiquo
- Ứng dụng Tiquo trên iOS và Android
- Ứng dụng web và bảng điều khiển tiquo.app
- Luồng xác thực và cấp quyền
- Quy trình thanh toán và xử lý dữ liệu
- Phần cứng Tiquo
Nội dung ngoài phạm vi
Các trường hợp sau không đủ điều kiện nhận thưởng:
- Dịch vụ hoặc tích hợp của bên thứ ba không thuộc Tiquo
- Tấn công phi kỹ thuật hoặc lừa đảo nhắm vào nhân viên hoặc khách hàng Tiquo
- Tấn công từ chối dịch vụ (DoS/DDoS)
- Vấn đề về thư rác hoặc giới hạn tốc độ không có tác động bảo mật trực tiếp
- Dự án tách biệt không có dữ liệu nhạy cảm hoặc thông tin khách hàng
- Lỗ hổng cần trình duyệt hoặc nền tảng lỗi thời
- Vấn đề đã được báo cáo hoặc chúng tôi đã biết
- Báo cáo tự động, suy đoán hoặc do AI tạo mà không có bằng chứng khai thác hoạt động đã được kiểm chứng thủ công
- Thiếu header bảo mật; thông báo lỗi hoặc chi tiết nội bộ vô hại; clickjacking trên trang không nhạy cảm; lộ phiên bản; phần mềm lỗi thời chưa có cách khai thác hoạt động; XSS hoặc CORS mang tính lý thuyết, chưa chứng minh được tác động bảo mật.
Các mức thưởng
Chỉ các lỗ hổng có thể tái hiện với tác động bảo mật đã được chứng minh mới đủ điều kiện nhận thưởng. Mức độ nghiêm trọng phụ thuộc vào tác động đã chứng minh và khả năng khai thác, không phải tên lỗ hổng hay điểm của công cụ quét. Báo cáo không có tác động đáng kể sẽ không được trả thưởng.
Đã chứng minh được việc xâm phạm hệ thống cốt lõi trong môi trường vận hành chính thức, với tác động trên phạm vi rộng.
Đã chứng minh được cách khai thác hoạt động và gây tác động bảo mật đáng kể.
Vấn đề có thể khai thác, với tác động đáng kể nhưng giới hạn. Để nhận mức thưởng cao hơn, báo cáo phải chứng minh tác động ở mức Cao hoặc Nghiêm trọng.
Lỗ hổng có thể tái hiện, với tác động bảo mật nhỏ nhưng đã được chứng minh.
Phần thưởng bổ sung
Báo cáo đặc biệt rõ ràng, phát hiện có tác động rộng, chuỗi tấn công sáng tạo hoặc sự hợp tác chặt chẽ trong quá trình khắc phục có thể được thưởng thêm.
Hướng dẫn gửi báo cáo
Để chúng tôi điều tra nhanh, hãy cung cấp:
- 1Mô tả rõ lỗ hổng
- 2Các bước tái hiện cụ thể
- 3URL, endpoint hoặc màn hình bị ảnh hưởng
- 4Môi trường kiểm thử, trình duyệt, hệ điều hành và thiết bị
- 5Ảnh chụp màn hình hoặc mã minh chứng, nếu có
- 6Đánh giá của bạn về tác động tiềm ẩn
Gửi một lỗ hổng trong mỗi báo cáo. Các vấn đề khác nhau cần có báo cáo riêng.
Quy tắc tham gia
- 1Không truy cập, sửa đổi hoặc xóa dữ liệu của người dùng khác.
- 2Không chạy công cụ quét tự động trên hệ thống đang vận hành khi chưa được chấp thuận trước bằng văn bản.
- 3Không bao giờ công khai lỗ hổng, báo cáo, bằng chứng hoặc chi tiết liên quan.
- 4Không dùng AI hay mô hình ngôn ngữ để viết báo cáo. Chúng tôi cần nghiên cứu nguyên bản dựa trên kiểm thử thủ công của bạn; báo cáo suy đoán hoặc chưa xác minh sẽ bị từ chối.
- 5Luôn hành động với thiện chí.
Bảo vệ nhà nghiên cứu
Tiquo sẽ không thực hiện hành động pháp lý đối với nhà nghiên cứu hành động thiện chí và tuân thủ quy tắc. Tiquo toàn quyền quản lý, thay đổi hoặc kết thúc chương trình; quyết định của Tiquo là quyết định cuối cùng.
Liên hệ
Gửi báo cáo đến:
security@tiquo.coMỗi báo cáo được xem xét nội bộ trong 24 giờ. Phản hồi chính thức có thể mất lâu hơn; đánh giá ban đầu sẽ được gửi trong 10 ngày làm việc. Không gửi thư nhắc hỏi về trạng thái báo cáo.