वल्नरेबिलिटी डिस्क्लोज़र प्रोग्राम

क्या स्कोप में है

कृपया सिर्फ़ इन्हें टेस्ट करें:

• talismanleads.io पर हमारी वेबसाइट और उसके सबडोमेन, जिनमें साइन-इन, अकाउंट, बिलिंग और मुफ़्त टूल के पेज शामिल हैं।
• हमारा Telegram बॉट, @TalismanLeadsV1bot।
• वेबसाइट की अपनी API, जब आप उन तक अपने अकाउंट से पहुँचते हैं।

अगर आपको पक्का न हो कि कोई चीज़ हमारी है या नहीं, तो टेस्ट करने से पहले हमसे पूछ लें।

क्या स्कोप से बाहर है

कृपया इनके बारे में रिपोर्ट न भेजें:

• दूसरी कंपनियों द्वारा चलाई जाने वाली सेवाएँ, जैसे Telegram, Cloudflare, पेमेंट नेटवर्क और लाइव चैट विजेट। कृपया इनकी रिपोर्ट इनके मालिकों को करें।
• दूसरे ग्राहकों के अकाउंट और डेटा।
• वे काम जिनके लिए हमारे चेकर और मुफ़्त टूल बनाए गए हैं, जैसे यह बताना कि किसी नंबर या ईमेल पते का अकाउंट है या नहीं।
• साइन-अप, साइन-इन या पासवर्ड रीसेट पेजों पर यह पता चलना कि कोई ईमेल पता या यूज़रनेम हमारे यहाँ पहले से रजिस्टर है या नहीं।
• गायब या कमज़ोर ईमेल रिकॉर्ड (SPF, DKIM, DMARC, BIMI), DNSSEC या CAA रिकॉर्ड, और मिलते-जुलते डोमेन।
• गायब सुरक्षा हेडर (CSP, HSTS, X-Frame-Options और ऐसे अन्य), कुकी फ़्लैग, और SSL/TLS सेटिंग जैसे साइफ़र का चुनाव, जब तक कि आप कोई कारगर हमला न दिखाएँ।
• सॉफ़्टवेयर के नाम और वर्शन नंबर, सर्वर बैनर, और सार्वजनिक फ़ाइलें जैसे robots.txt, साइटमैप या security.txt।
• वे कीज़ जो सार्वजनिक होने के लिए ही बनी हैं, जैसे पेज के सोर्स में मौजूद CAPTCHA, एनालिटिक्स और ब्राउज़र-क्लाइंट कीज़।
• self-XSS, बिना किसी संवेदनशील कार्रवाई वाले पेजों पर clickjacking या CSRF, लॉगआउट CSRF, बिना किसी अतिरिक्त प्रभाव वाले ओपन रीडायरेक्ट, tabnabbing, और ऐसा टेक्स्ट इंजेक्शन जो कोई स्क्रिप्ट न चलाए।
• सार्वजनिक पेजों और फ़ॉर्म पर रेट लिमिट, जिनमें ईमेल या साइन-अप फ़्लडिंग भी शामिल है, जब तक कि वे किसी को अकाउंट पर कब्ज़ा करने या पैसे ख़र्च करने न दें।
• पासवर्ड के नियम, सेशन की अवधि, और टू-फ़ैक्टर ऑथेंटिकेशन का वैकल्पिक होना या मौजूद न होना।
• ऐसे हमले जिनके लिए फ़िज़िकल एक्सेस, रूटेड या जेलब्रेक किया हुआ डिवाइस, पुराना ब्राउज़र, या पहले से कॉम्प्रोमाइज़ हो चुका पीड़ित ज़रूरी हो।
• फ़िशिंग, सोशल इंजीनियरिंग और डिनायल-ऑफ़-सर्विस।
• दूसरी साइटों के डेटा ब्रीच से मिले पासवर्ड और अन्य डेटा, जब तक कि वे हमारी साइट पर काम न करें।
• ऑटोमेटेड स्कैनर या AI टूल का आउटपुट जिसके साथ कोई कारगर प्रमाण न हो, और बिना किसी सुरक्षा प्रभाव वाली बेस्ट-प्रैक्टिस सलाह।
• बिना किसी सुरक्षा प्रभाव वाले बग, और आपके अकाउंट या बिलिंग के बारे में सवाल। कृपया इनके लिए संपर्क पेज का इस्तेमाल करें।

हम इनके बारे में मिली रिपोर्ट को बिना जवाब दिए बंद कर सकते हैं।

सुरक्षित तरीके से टेस्ट कैसे करें

• सिर्फ़ वही अकाउंट इस्तेमाल करें जो आपने ख़ुद बनाए हों, और सिर्फ़ वही नंबर और ईमेल पते जो आपके अपने हों या जिन्हें इस्तेमाल करने की आपको अनुमति हो।
• जो डेटा आपका नहीं है, उसे न पढ़ें, न बदलें और न डिलीट करें। अगर आप किसी और के डेटा तक पहुँच जाएँ, तो रुक जाएँ, उसकी कॉपी न रखें और हमें बताएँ।
• डिनायल-ऑफ़-सर्विस टेस्ट न चलाएँ, फ़ॉर्म में फ़्लड न करें, स्पैम न भेजें और दूसरों के लिए सेवा को धीमा न करें।
• हमारे स्टाफ़ या ग्राहकों को धोखा देने की कोशिश न करें, और फ़िज़िकल हमले करने की कोशिश न करें।
• अगर किसी समस्या से आपको बैलेंस या पेड सेवाएँ मिल जाएँ, तो उसे दिखाने के लिए जितना ज़रूरी हो उससे ज़्यादा इस्तेमाल न करें, और हमें बताएँ ताकि हम उसे वापस कर सकें।
• समस्या को तब तक निजी रखें जब तक वह ठीक न हो जाए और हम उसके खुलासे पर सहमत न हो जाएँ।

अपनी रिपोर्ट में क्या शामिल करें

• समस्या क्या है और कोई हमलावर इससे क्या कर सकता है।
• प्रभावित पेज, API रूट या बॉट कमांड।
• इसे दोबारा करने के चरण, स्क्रीनशॉट या प्रूफ़ ऑफ़ कॉन्सेप्ट के साथ।
• आपसे संपर्क करने का तरीका, और वह नाम जिससे आप श्रेय पाना चाहते हैं, अगर कोई हो।

कृपया अपनी रिपोर्ट में दूसरे लोगों का व्यक्तिगत डेटा शामिल न करें।

आप हमसे क्या उम्मीद कर सकते हैं

• हम 5 कार्य दिवसों के भीतर स्कोप में आने वाली रिपोर्ट मिलने की पुष्टि करते हैं।
• हम समस्या की जाँच करते हैं और आपको बताते हैं कि क्या हम उसे दोबारा कर पा रहे हैं और आगे क्या होगा।
• हम इस पर काम करते समय आपको जानकारी देते रहते हैं, और ठीक होने पर आपको बताते हैं।
• अगर आप चाहें, तो हम फ़िक्स के बारे में लिखते समय आपको श्रेय देते हैं।

सेफ़ हार्बर

अगर आप सद्भावना से काम करते हैं और इस पॉलिसी का पालन करते हैं, तो हम आपके शोध को अधिकृत मानते हैं। इसके लिए हम आपके ख़िलाफ़ न तो कोई कानूनी कार्रवाई करेंगे और न ही अधिकारियों से आपकी शिकायत करेंगे। अगर कोई और इसे लेकर आपके ख़िलाफ़ कार्रवाई करता है, तो हम यह स्पष्ट करेंगे कि आपने इस पॉलिसी के तहत काम किया।

यह सिर्फ़ TalismanLeads के अपने सिस्टम पर लागू होता है। हम किसी और के सिस्टम की टेस्टिंग को अधिकृत नहीं कर सकते। अगर आपको पक्का न हो कि किसी चीज़ की अनुमति है या नहीं, तो पहले हमसे पूछें।

सार्वजनिक खुलासा

कृपया किसी समस्या के बारे में कुछ भी प्रकाशित करने से पहले हमें उसे ठीक करने के लिए उचित समय दें। हमारा लक्ष्य पुष्टि की गई समस्याओं को 90 दिनों के भीतर हल करना है, और हम आपके साथ एक तारीख तय करेंगे। कुछ समस्याओं में ज़्यादा समय लगता है, और अगर आपकी समस्या में ऐसा होता है तो हम आपको बताएँगे।

इनाम

यह एक डिस्क्लोज़र प्रोग्राम है, बग बाउंटी नहीं, इसलिए हम रिपोर्ट के लिए भुगतान नहीं करते। आपकी मदद के लिए हम आभारी हैं, और हमें इसका श्रेय आपको देकर ख़ुशी होगी। जो रिपोर्ट विवरण साझा करने से पहले भुगतान माँगती हैं, उन्हें बिना जवाब दिए बंद कर दिया जाता है।

समस्या ठीक होने के बाद हम आपका नाम, आपकी खोज के साथ, अपने हॉल ऑफ़ फ़ेम में भी शामिल कर सकते हैं। हम आपका नाम केवल आपकी अनुमति से शामिल करते हैं, और आप कभी भी हमसे अपनी प्रविष्टि हटाने के लिए कह सकते हैं।