취약점 공개 프로그램

테스트 대상 범위

다음 대상만 테스트해 주십시오.

• 당사 웹사이트 talismanleads.io 및 그 하위 도메인. 로그인, 계정, 결제, 무료 도구 페이지를 포함합니다.
• 당사의 Telegram 봇 @TalismanLeadsV1bot.
• 고객님 본인의 계정에서 접근하는 경우의 웹사이트 자체 API.

당사의 소유인지 확실하지 않은 경우 테스트하기 전에 당사에 문의해 주십시오.

테스트 대상이 아닌 범위

다음에 관한 보고서는 보내지 마십시오.

• Telegram, Cloudflare, 결제 네트워크, 실시간 채팅 위젯 등 다른 회사가 운영하는 서비스. 이러한 문제는 해당 소유자에게 신고해 주십시오.
• 다른 고객의 계정 및 데이터.
• 당사의 체커와 무료 도구가 원래 하도록 만들어진 일. 예를 들어 번호나 이메일 주소에 계정이 있는지 알려 주는 것.
• 가입, 로그인, 비밀번호 재설정 페이지에서 이메일 주소나 사용자 이름이 당사에 이미 등록되어 있는지 여부.
• 이메일 레코드(SPF, DKIM, DMARC, BIMI), DNSSEC 또는 CAA 레코드의 누락이나 미흡, 유사 도메인.
• 보안 헤더(CSP, HSTS, X-Frame-Options 등) 누락, 쿠키 플래그, 암호화 방식 선택과 같은 SSL/TLS 설정. 단, 실제로 동작하는 공격을 보여 주는 경우는 제외합니다.
• 소프트웨어 이름과 버전 번호, 서버 배너, robots.txt, 사이트맵, security.txt 등의 공개 파일.
• 페이지 소스에 있는 CAPTCHA, 분석, 브라우저 클라이언트 키와 같이 공개를 전제로 한 키.
• 민감한 동작이 없는 페이지의 self-XSS, 클릭재킹 또는 CSRF, 로그아웃 CSRF, 추가 영향이 없는 오픈 리다이렉트, tabnabbing, 스크립트가 실행되지 않는 텍스트 삽입.
• 이메일 또는 가입 폭주를 포함한 공개 페이지 및 양식의 요청 속도 제한. 단, 이로 인해 누군가가 계정을 탈취하거나 돈을 쓸 수 있는 경우는 제외합니다.
• 비밀번호 규칙, 세션 길이, 2단계 인증이 선택 사항이거나 제공되지 않는 것.
• 물리적 접근, 루팅 또는 탈옥된 기기, 오래된 브라우저, 이미 침해된 피해자가 필요한 공격.
• 피싱, 사회공학, 서비스 거부.
• 다른 사이트의 유출 사고에서 나온 비밀번호 및 기타 데이터. 단, 당사 사이트에서 유효한 경우는 제외합니다.
• 실제로 동작하는 증명이 없는 자동 스캐너 또는 AI 도구 결과, 보안에 영향을 주지 않는 모범 사례 조언.
• 보안에 영향을 주지 않는 버그, 고객님의 계정 또는 결제에 관한 질문. 이러한 경우에는 문의 페이지를 이용해 주십시오.

당사는 이러한 보고서를 회신 없이 종결할 수 있습니다.

안전하게 테스트하는 방법

• 본인이 직접 만든 계정만 사용하고, 본인 소유이거나 사용 허가를 받은 번호와 이메일 주소만 사용하십시오.
• 본인의 것이 아닌 데이터를 읽거나 변경하거나 삭제하지 마십시오. 다른 사람의 데이터에 접근하게 되면 중단하고, 사본을 보관하지 말고, 당사에 알려 주십시오.
• 서비스 거부 테스트, 양식 대량 제출, 스팸 발송, 다른 사용자의 서비스를 느리게 만드는 행위를 하지 마십시오.
• 당사 직원이나 고객을 속이려 하지 말고, 물리적 공격을 시도하지 마십시오.
• 문제로 인해 잔액이나 유료 서비스를 얻게 된 경우, 문제를 입증하는 데 필요한 만큼만 사용하고, 당사가 되돌릴 수 있도록 알려 주십시오.
• 문제가 해결되고 공개에 관해 당사와 합의할 때까지 문제를 비공개로 유지해 주십시오.

보고서에 포함할 내용

• 문제가 무엇이며 공격자가 이를 이용해 무엇을 할 수 있는지.
• 영향을 받는 페이지, API 경로 또는 봇 명령어.
• 스크린샷이나 개념 증명을 포함한 재현 단계.
• 연락 방법과, 원하는 경우 공로를 표시할 때 사용할 이름.

보고서에 다른 사람의 개인정보를 포함하지 마십시오.

당사에 기대할 수 있는 사항

• 당사는 5 영업일 이내에 테스트 대상 범위에 속하는 보고서의 접수를 확인해 드립니다.
• 당사는 문제를 확인하고, 재현 가능 여부와 다음 단계를 알려 드립니다.
• 처리하는 동안 진행 상황을 알려 드리고, 해결되면 알려 드립니다.
• 원하시는 경우 해결 내용을 게시할 때 고객님의 공로를 표시합니다.

세이프 하버(면책)

고객님이 선의로 행동하고 본 정책을 준수하는 경우, 당사는 고객님의 연구를 승인된 것으로 간주합니다. 당사는 이를 이유로 고객님에 대해 법적 조치를 취하거나 고객님을 당국에 신고하지 않습니다. 다른 사람이 이와 관련하여 고객님에 대해 조치를 취하는 경우, 당사는 고객님이 본 정책에 따라 행동했음을 명확히 밝힙니다.

이는 TalismanLeads 자체 시스템에만 적용됩니다. 당사는 다른 누구의 시스템에 대한 테스트도 승인할 수 없습니다. 허용되는지 확실하지 않은 경우 먼저 당사에 문의해 주십시오.

공개

문제에 관해 무엇이든 게시하기 전에 당사가 문제를 해결할 수 있도록 합리적인 시간을 주십시오. 당사는 확인된 문제를 90일 이내에 해결하는 것을 목표로 하며, 고객님과 날짜를 합의합니다. 일부 문제는 더 오래 걸릴 수 있으며, 고객님이 신고한 문제가 그러한 경우 알려 드립니다.

보상

이 프로그램은 공개 프로그램이며 버그 바운티가 아니므로 보고서에 대해 비용을 지급하지 않습니다. 도움에 감사드리며, 기꺼이 고객님의 공로를 표시합니다. 세부 정보를 공유하기 전에 대가를 요구하는 보고서는 회신 없이 종결합니다.

문제가 해결된 후에는 발견하신 내용과 함께 성함을 명예의 전당에 올릴 수도 있습니다. 성함은 동의를 받은 경우에만 올리며, 언제든지 해당 항목의 삭제를 요청하실 수 있습니다.