ভালনারেবিলিটি ডিসক্লোজার প্রোগ্রাম

স্কোপে কী আছে

অনুগ্রহ করে শুধু এগুলো টেস্ট করুন:

• talismanleads.io-এ আমাদের ওয়েবসাইট ও এর সাবডোমেইনগুলো, যার মধ্যে সাইন-ইন, অ্যাকাউন্ট, বিলিং ও ফ্রি টুলের পেজও রয়েছে।
• আমাদের Telegram বট, @TalismanLeadsV1bot।
• ওয়েবসাইটের নিজস্ব API, যখন আপনি আপনার নিজের অ্যাকাউন্ট থেকে সেগুলোতে পৌঁছান।

কোনো কিছু আমাদের কি না তা নিয়ে নিশ্চিত না হলে, টেস্ট করার আগে আমাদের জিজ্ঞাসা করুন।

স্কোপের বাইরে কী আছে

অনুগ্রহ করে এগুলো নিয়ে রিপোর্ট পাঠাবেন না:

• অন্য কোম্পানির পরিচালিত সার্ভিস, যেমন Telegram, Cloudflare, পেমেন্ট নেটওয়ার্ক ও লাইভ চ্যাট উইজেট। অনুগ্রহ করে এগুলো তাদের মালিকদের কাছে রিপোর্ট করুন।
• অন্য গ্রাহকদের অ্যাকাউন্ট ও ডেটা।
• আমাদের চেকার ও ফ্রি টুলগুলো যে কাজের জন্য তৈরি, যেমন কোনো নম্বর বা ইমেইল ঠিকানার অ্যাকাউন্ট আছে কি না তা জানানো।
• সাইন-আপ, সাইন-ইন বা পাসওয়ার্ড রিসেট পেজে কোনো ইমেইল ঠিকানা বা ইউজারনেম আমাদের কাছে আগে থেকেই নিবন্ধিত কি না।
• অনুপস্থিত বা দুর্বল ইমেইল রেকর্ড (SPF, DKIM, DMARC, BIMI), DNSSEC বা CAA রেকর্ড, এবং দেখতে একই রকম ডোমেইন।
• অনুপস্থিত সিকিউরিটি হেডার (CSP, HSTS, X-Frame-Options এবং এ জাতীয় অন্যান্য), কুকি ফ্ল্যাগ, এবং সাইফার নির্বাচনের মতো SSL/TLS সেটিংস, যদি না আপনি একটি কার্যকর আক্রমণ দেখান।
• সফটওয়্যারের নাম ও ভার্সন নম্বর, সার্ভার ব্যানার, এবং robots.txt, সাইটম্যাপ বা security.txt-এর মতো পাবলিক ফাইল।
• যে কী-গুলো পাবলিক থাকার জন্যই তৈরি, যেমন পেজের সোর্সে থাকা CAPTCHA, অ্যানালিটিক্স ও ব্রাউজার-ক্লায়েন্ট কী।
• self-XSS, সংবেদনশীল কোনো কাজ নেই এমন পেজে clickjacking বা CSRF, লগআউট CSRF, আর কোনো প্রভাব নেই এমন ওপেন রিডাইরেক্ট, tabnabbing, এবং কোনো স্ক্রিপ্ট চালায় না এমন টেক্সট ইনজেকশন।
• পাবলিক পেজ ও ফর্মের রেট লিমিট, ইমেইল বা সাইন-আপ ফ্লাডিংসহ, যদি না সেগুলো কাউকে কোনো অ্যাকাউন্ট দখল করতে বা অর্থ খরচ করতে দেয়।
• পাসওয়ার্ডের নিয়ম, সেশনের দৈর্ঘ্য, এবং টু-ফ্যাক্টর অথেনটিকেশন ঐচ্ছিক বা অনুপস্থিত থাকা।
• যেসব আক্রমণের জন্য শারীরিক অ্যাক্সেস, রুট করা বা জেলব্রেক করা ডিভাইস, পুরোনো ব্রাউজার, অথবা আগে থেকেই কম্প্রোমাইজড ভুক্তভোগী দরকার হয়।
• ফিশিং, সোশ্যাল ইঞ্জিনিয়ারিং ও ডিনায়াল-অব-সার্ভিস।
• অন্য সাইটের ডেটা ব্রিচ থেকে পাওয়া পাসওয়ার্ড ও অন্যান্য ডেটা, যদি না সেগুলো আমাদের সাইটে কাজ করে।
• কার্যকর প্রমাণ ছাড়া অটোমেটেড স্ক্যানার বা AI টুলের আউটপুট, এবং নিরাপত্তাগত প্রভাব নেই এমন বেস্ট-প্র্যাকটিস পরামর্শ।
• নিরাপত্তাগত প্রভাব নেই এমন বাগ, এবং আপনার অ্যাকাউন্ট বা বিলিং নিয়ে প্রশ্ন। এগুলোর জন্য অনুগ্রহ করে যোগাযোগ পেজ ব্যবহার করুন।

এগুলো নিয়ে পাঠানো রিপোর্ট আমরা কোনো উত্তর না দিয়েই বন্ধ করতে পারি।

কীভাবে নিরাপদে টেস্ট করবেন

• শুধু আপনার নিজের তৈরি অ্যাকাউন্ট ব্যবহার করুন, আর শুধু সেই নম্বর ও ইমেইল ঠিকানা ব্যবহার করুন যেগুলো আপনার নিজের বা যেগুলো ব্যবহারের অনুমতি আপনার আছে।
• যে ডেটা আপনার নয় তা পড়বেন না, বদলাবেন না বা মুছবেন না। অন্য কারও ডেটায় পৌঁছে গেলে থেমে যান, কোনো কপি রাখবেন না এবং আমাদের জানান।
• ডিনায়াল-অব-সার্ভিস টেস্ট চালাবেন না, ফর্মে ফ্লাড করবেন না, স্প্যাম পাঠাবেন না বা অন্যদের জন্য সার্ভিস ধীর করবেন না।
• আমাদের কর্মী বা গ্রাহকদের প্রতারিত করার চেষ্টা করবেন না, এবং শারীরিক আক্রমণের চেষ্টা করবেন না।
• কোনো সমস্যার কারণে আপনি ব্যালেন্স বা পেইড সার্ভিস পেলে, সেটি দেখানোর জন্য যতটুকু দরকার তার বেশি ব্যবহার করবেন না, এবং আমাদের জানান যাতে আমরা তা ফিরিয়ে নিতে পারি।
• সমস্যাটি ঠিক না হওয়া পর্যন্ত এবং প্রকাশের বিষয়ে আমরা একমত না হওয়া পর্যন্ত এটি গোপন রাখুন।

আপনার রিপোর্টে কী রাখবেন

• সমস্যাটি কী এবং একজন আক্রমণকারী এটি দিয়ে কী করতে পারে।
• যে পেজ, API রুট বা বট কমান্ড প্রভাবিত হয়েছে।
• এটি পুনরায় ঘটানোর ধাপগুলো, স্ক্রিনশট বা প্রুফ অব কনসেপ্টসহ।
• আপনার সঙ্গে কীভাবে যোগাযোগ করা যাবে, এবং যে নামে আপনি কৃতিত্ব পেতে চান, যদি থাকে।

অনুগ্রহ করে আপনার রিপোর্টে অন্যদের ব্যক্তিগত ডেটা রাখবেন না।

আমাদের কাছ থেকে আপনি কী আশা করতে পারেন

• আমরা 5 কার্যদিবসের মধ্যে স্কোপের ভেতরের রিপোর্ট পাওয়ার বিষয়টি নিশ্চিত করি।
• আমরা সমস্যাটি যাচাই করি এবং আপনাকে জানাই আমরা এটি পুনরায় ঘটাতে পারছি কি না এবং এরপর কী হবে।
• এ নিয়ে কাজ চলাকালে আমরা আপনাকে আপডেট জানাই, এবং ঠিক হলে জানিয়ে দিই।
• আপনি চাইলে, সমাধানটি নিয়ে লেখার সময় আমরা আপনাকে কৃতিত্ব দিই।

সেফ হারবার

আপনি যদি সরল বিশ্বাসে কাজ করেন এবং এই পলিসি মেনে চলেন, তাহলে আমরা আপনার গবেষণাকে অনুমোদিত বলে গণ্য করি। এর জন্য আমরা আপনার বিরুদ্ধে কোনো আইনি ব্যবস্থা নেব না এবং কর্তৃপক্ষের কাছে আপনার বিরুদ্ধে অভিযোগও করব না। অন্য কেউ এ নিয়ে আপনার বিরুদ্ধে ব্যবস্থা নিলে, আমরা স্পষ্ট করে জানাব যে আপনি এই পলিসি অনুযায়ী কাজ করেছেন।

এটি শুধু TalismanLeads-এর নিজস্ব সিস্টেমের ক্ষেত্রে প্রযোজ্য। অন্য কারও সিস্টেম পরীক্ষার অনুমোদন আমরা দিতে পারি না। কোনো কিছু অনুমোদিত কি না সে বিষয়ে নিশ্চিত না হলে আগে আমাদের জিজ্ঞাসা করুন।

পাবলিক ডিসক্লোজার

কোনো সমস্যা নিয়ে কিছু প্রকাশ করার আগে অনুগ্রহ করে আমাদের তা ঠিক করার জন্য যুক্তিসঙ্গত সময় দিন। নিশ্চিত হওয়া সমস্যাগুলো 90 দিনের মধ্যে সমাধান করাই আমাদের লক্ষ্য, এবং আমরা আপনার সঙ্গে একটি তারিখ ঠিক করে নেব। কিছু সমস্যায় বেশি সময় লাগে, আপনারটিতে লাগলে আমরা আপনাকে জানাব।

পুরস্কার

এটি একটি ডিসক্লোজার প্রোগ্রাম, বাগ বাউন্টি নয়, তাই আমরা রিপোর্টের জন্য অর্থ প্রদান করি না। আপনার সাহায্যের জন্য আমরা কৃতজ্ঞ, এবং এর কৃতিত্ব আপনাকে দিতে পেরে আমরা আনন্দিত। বিস্তারিত জানানোর আগে অর্থ চায় এমন রিপোর্ট কোনো উত্তর ছাড়াই বন্ধ করে দেওয়া হয়।

সমস্যাটি ঠিক হওয়ার পর আমরা আপনার খুঁজে পাওয়া বিষয়সহ আমাদের হল অফ ফেমে আপনার নামও দিতে পারি। আমরা কেবল আপনার অনুমতি নিয়েই আপনার নাম দিই, এবং আপনি যেকোনো সময় আপনার এন্ট্রি সরিয়ে দিতে বলতে পারেন।