Tiquo 漏洞奖励计划
欢迎安全研究人员负责任地报告经过人工验证的漏洞，帮助我们改进平台安全。
运作方式
1
在 Tiquo 产品中发现潜在安全漏洞。
2
向安全团队提交详细报告。
3
我们在 24 小时内进行内部审查；正式回复可能稍后提供。
4
团队调查并复现问题，评估严重程度。
5
我们会告知您评估等级和奖励金额。
6
奖励在定级后 30 天内支付。
Tiquo 会根据实际影响、可利用性和计划范围，逐项评估漏洞等级和奖励。
我们收到过大量由 AI 生成、缺乏事实依据的报告。对于未提供真实或有价值信息的报告，我们保留拒绝受理或不予回复的权利。
在任何生产环境中的 Tiquo 账户上开展漏洞赏金测试，必须事先获得 Tiquo 的书面批准。如果您未经批准对这些账户开展任何活动，无论发现什么问题，都不会获得奖励。
计划范围
本计划涵盖以下内容：
- tiquo.co
- Tiquo API 端点
- Tiquo iOS 和 Android 移动应用
- tiquo.app 网页应用和控制面板
- 身份验证和授权流程
- 支付和数据处理流程
- Tiquo 硬件
不在计划范围内
以下情况不符合奖励资格：
- 不属于 Tiquo 的第三方服务或集成
- 针对 Tiquo 员工或客户的社会工程或网络钓鱼
- 拒绝服务攻击（DoS/DDoS）
- 没有直接安全影响的垃圾信息或速率限制问题
- 不含敏感数据或客户信息的独立项目
- 需要旧版浏览器或平台的漏洞
- 已被报告或我们已知的问题
- 由自动工具、推测或 AI 生成，且未提供人工验证证据的报告
- 缺少安全响应头、无害的错误消息或内部细节、非敏感页面上的点击劫持、版本信息泄露、没有有效利用方法的过时软件，以及未证明安全影响的理论性 XSS 或 CORS 问题。
奖励等级
只有可复现且已证实安全影响的漏洞才符合奖励条件。等级取决于实际影响和可利用性，而非漏洞名称或扫描器评分。没有实质影响的报告不予奖励。
严重
£1,000 至 £10,000
已证实的核心生产系统失陷，并造成广泛影响。
高
£150 至 £1,000
已证实有效且具有重大安全影响的漏洞利用。
中
£50 至 £150
能够利用，并造成实质但有限影响的问题。若申请更高奖励，需证明影响达到高危或严重等级。
低
£10 至 £50
可复现、且能证实较小安全影响的漏洞。
额外奖励
报告特别清晰、影响范围广、攻击链有独到发现，或在修复过程中积极配合，都可能获得额外奖励。
提交指南
为便于我们快速调查，请提供：
- 1清晰描述漏洞
- 2逐步说明复现方法
- 3受影响的 URL、端点或应用页面
- 4测试环境，包括浏览器、操作系统和设备
- 5尽可能提供截图或概念验证代码
- 6您对潜在影响的评估
每份报告只提交一个漏洞；不同问题请分别提交。
参与规则
- 1请勿访问、修改或删除其他用户的数据。
- 2未经 Tiquo 事先书面批准，请勿对生产系统运行自动扫描工具。
- 3任何时候都不得公开漏洞、报告、验证信息或相关细节。
- 4请勿使用 AI 或大语言模型生成或撰写报告。我们需要基于您亲自手动测试的原创研究；推测性或未经验证的报告将被拒绝。
- 5始终本着善意行事。
研究人员保护
对于善意行事并遵守规则的研究人员，Tiquo 不会采取法律行动。本计划由 Tiquo 酌情提供；我们可修改或终止计划，所有决定均为最终决定。