Program Pengungkapan Kerentanan

Yang termasuk dalam cakupan

Mohon uji hanya yang berikut ini:

• Situs web kami di talismanleads.io dan subdomainnya, termasuk halaman masuk, akun, penagihan, dan alat gratis.
• Bot Telegram kami, @TalismanLeadsV1bot.
• API milik situs web itu sendiri, jika Anda mengaksesnya dari akun Anda sendiri.

Jika Anda tidak yakin apakah sesuatu adalah milik kami, tanyakan kepada kami sebelum mengujinya.

Yang tidak termasuk dalam cakupan

Mohon jangan mengirim laporan tentang:

• Layanan yang dijalankan perusahaan lain, seperti Telegram, Cloudflare, jaringan pembayaran, dan widget obrolan langsung. Mohon laporkan hal tersebut kepada pemiliknya.
• Akun dan data pelanggan lain.
• Hal yang memang dibuat untuk dilakukan oleh pemeriksa dan alat gratis kami, seperti menunjukkan apakah suatu nomor atau alamat email memiliki akun.
• Apakah alamat email atau nama pengguna sudah terdaftar pada kami, di halaman pendaftaran, masuk, atau pengaturan ulang kata sandi.
• Catatan email (SPF, DKIM, DMARC, BIMI), catatan DNSSEC atau CAA yang tidak ada atau lemah, serta domain yang mirip.
• Header keamanan yang tidak ada (CSP, HSTS, X-Frame-Options, dan sejenisnya), flag cookie, dan pengaturan SSL/TLS seperti pilihan cipher, kecuali Anda menunjukkan serangan yang berfungsi.
• Nama dan nomor versi perangkat lunak, banner server, dan file publik seperti robots.txt, sitemap, atau security.txt.
• Kunci yang memang dimaksudkan untuk publik, seperti kunci CAPTCHA, analitik, dan klien browser di kode sumber halaman.
• Self-XSS, clickjacking, atau CSRF di halaman tanpa tindakan sensitif, logout CSRF, open redirect tanpa dampak lebih lanjut, tabnabbing, dan injeksi teks yang tidak menjalankan skrip.
• Batas laju permintaan di halaman dan formulir publik, termasuk pembanjiran email atau pendaftaran, kecuali batas tersebut memungkinkan seseorang mengambil alih akun atau membelanjakan uang.
• Aturan kata sandi, durasi sesi, dan autentikasi dua faktor yang bersifat opsional atau tidak tersedia.
• Serangan yang memerlukan akses fisik, perangkat yang di-root atau di-jailbreak, browser yang sudah usang, atau korban yang sudah disusupi.
• Phishing, rekayasa sosial, dan penolakan layanan.
• Kata sandi dan data lain dari pembobolan situs lain, kecuali data tersebut berfungsi di situs kami.
• Hasil pemindai otomatis atau alat AI tanpa bukti yang berfungsi, dan saran praktik terbaik tanpa dampak keamanan.
• Bug tanpa dampak keamanan, dan pertanyaan tentang akun atau penagihan Anda. Mohon gunakan halaman kontak untuk hal tersebut.

Kami dapat menutup laporan tentang hal-hal ini tanpa balasan.

Cara menguji dengan aman

• Gunakan hanya akun yang Anda buat sendiri, serta hanya nomor dan alamat email yang Anda miliki atau yang Anda punya izin untuk menggunakannya.
• Jangan membaca, mengubah, atau menghapus data yang bukan milik Anda. Jika Anda mengakses data orang lain, berhentilah, jangan simpan salinannya, dan beri tahu kami.
• Jangan menjalankan pengujian penolakan layanan, membanjiri formulir, mengirim spam, atau memperlambat layanan bagi orang lain.
• Jangan mencoba menipu staf atau pelanggan kami, dan jangan mencoba serangan fisik.
• Jika suatu masalah memberi Anda saldo atau layanan berbayar, gunakan tidak lebih dari yang diperlukan untuk menunjukkannya, dan beri tahu kami agar kami dapat membatalkannya.
• Jaga kerahasiaan masalah tersebut sampai diperbaiki dan kita telah menyepakati pengungkapannya.

Yang perlu dicantumkan dalam laporan Anda

• Apa masalahnya dan apa yang dapat dilakukan penyerang dengan masalah itu.
• Halaman, rute API, atau perintah bot yang terdampak.
• Langkah-langkah untuk mereproduksinya, dengan tangkapan layar atau proof of concept.
• Cara menghubungi Anda, dan nama yang Anda inginkan untuk pencantuman kredit, jika ada.

Mohon jangan sertakan data pribadi orang lain dalam laporan Anda.

Yang dapat Anda harapkan dari kami

• Kami mengonfirmasi penerimaan laporan yang termasuk dalam cakupan dalam 5 hari kerja.
• Kami memeriksa masalah tersebut dan memberi tahu Anda apakah kami dapat mereproduksinya serta apa langkah selanjutnya.
• Kami terus memberi Anda kabar terbaru selama kami menanganinya, dan memberi tahu Anda saat masalah telah diperbaiki.
• Jika Anda mau, kami mencantumkan kredit untuk Anda saat kami menulis tentang perbaikannya.

Perlindungan hukum (safe harbor)

Jika Anda bertindak dengan iktikad baik dan mengikuti kebijakan ini, kami menganggap riset Anda telah diotorisasi. Kami tidak akan mengambil tindakan hukum terhadap Anda atau melaporkan Anda kepada pihak berwenang karena hal tersebut. Jika pihak lain mengambil tindakan terhadap Anda terkait hal tersebut, kami akan menyatakan dengan jelas bahwa Anda bertindak berdasarkan kebijakan ini.

Ini hanya berlaku untuk sistem milik TalismanLeads sendiri. Kami tidak dapat mengotorisasi pengujian terhadap sistem milik siapa pun selain kami. Jika Anda tidak yakin apakah sesuatu diperbolehkan, tanyakan kepada kami terlebih dahulu.

Pengungkapan publik

Mohon beri kami waktu yang wajar untuk memperbaiki masalah sebelum Anda memublikasikan apa pun tentang masalah tersebut. Kami berupaya menyelesaikan masalah yang telah dikonfirmasi dalam 90 hari, dan kami akan menyepakati tanggalnya dengan Anda. Beberapa masalah memerlukan waktu lebih lama, dan kami akan memberi tahu Anda jika masalah Anda termasuk di antaranya.

Imbalan

Ini adalah program pengungkapan, bukan bug bounty, sehingga kami tidak membayar untuk laporan. Kami berterima kasih atas bantuan Anda, dan kami dengan senang hati mencantumkan kredit untuk Anda. Laporan yang meminta pembayaran sebelum membagikan detailnya ditutup tanpa balasan.

Setelah masalahnya diperbaiki, kami juga dapat mencantumkan nama Anda di Hall of Fame kami, beserta temuan Anda. Kami hanya mencantumkan nama Anda dengan izin Anda, dan Anda dapat meminta kami menghapus entri Anda kapan saja.