Programma voor Coordinated Vulnerability Disclosure

Wat binnen de scope valt

Test alleen het volgende:

• Onze website op talismanleads.io en de subdomeinen daarvan, inclusief de pagina's voor inloggen, account, facturatie en gratis tools.
• Onze Telegram-bot, @TalismanLeadsV1bot.
• De eigen API's van de website, wanneer je ze vanuit je eigen account benadert.

Weet je niet zeker of iets van ons is? Vraag het ons voordat je het test.

Wat buiten de scope valt

Stuur geen meldingen over:

• Diensten van andere bedrijven, zoals Telegram, Cloudflare, betaalnetwerken en de livechatwidget. Meld die bij de eigenaren ervan.
• Accounts en gegevens van andere klanten.
• Waarvoor onze controles en gratis tools zijn gemaakt, zoals aangeven of een nummer of e-mailadres een account heeft.
• Of een e-mailadres of gebruikersnaam al bij ons is geregistreerd, op de pagina's voor registreren, inloggen of wachtwoordherstel.
• Ontbrekende of zwakke e-mailrecords (SPF, DKIM, DMARC, BIMI), DNSSEC- of CAA-records en lookalike-domeinen.
• Ontbrekende beveiligingsheaders (CSP, HSTS, X-Frame-Options en dergelijke), cookieflags en SSL/TLS-instellingen zoals de keuze van ciphers, tenzij je een werkende aanval aantoont.
• Softwarenamen en versienummers, serverbanners en openbare bestanden zoals robots.txt, de sitemap of security.txt.
• Sleutels die bedoeld zijn om openbaar te zijn, zoals de CAPTCHA-, analytics- en browserclientsleutels in de broncode van een pagina.
• Self-XSS, clickjacking of CSRF op pagina's zonder gevoelige actie, logout-CSRF, open redirects zonder verdere gevolgen, tabnabbing en tekstinjectie die geen script uitvoert.
• Rate limits op openbare pagina's en formulieren, inclusief het bestoken met e-mails of aanmeldingen, tenzij iemand daardoor een account kan overnemen of geld kan uitgeven.
• Wachtwoordregels, sessieduur en het optioneel zijn of ontbreken van tweefactorauthenticatie.
• Aanvallen waarvoor fysieke toegang, een geroot of gejailbreakt apparaat, een verouderde browser of een al gecompromitteerd slachtoffer nodig is.
• Phishing, social engineering en denial of service.
• Wachtwoorden en andere gegevens uit datalekken bij andere sites, tenzij ze op onze site werken.
• Uitvoer van geautomatiseerde scanners of AI-tools zonder werkend bewijs, en best-practice-adviezen zonder gevolgen voor de beveiliging.
• Bugs zonder gevolgen voor de beveiliging en vragen over je account of facturatie. Gebruik daarvoor de contactpagina.

We kunnen meldingen hierover zonder antwoord sluiten.

Hoe je veilig test

• Gebruik alleen accounts die je zelf hebt aangemaakt, en alleen nummers en e-mailadressen die van jou zijn of die je mag gebruiken.
• Bekijk, wijzig of verwijder geen gegevens die niet van jou zijn. Kom je bij gegevens van iemand anders terecht, stop dan, bewaar geen kopie en laat het ons weten.
• Voer geen denial-of-servicetests uit, bestook geen formulieren, verstuur geen spam en maak de dienst niet trager voor anderen.
• Probeer onze medewerkers of klanten niet te misleiden en probeer geen fysieke aanvallen uit.
• Levert een probleem je saldo of betaalde diensten op, gebruik dan niet meer dan nodig is om het aan te tonen en laat het ons weten, zodat we het kunnen terugdraaien.
• Houd het probleem vertrouwelijk totdat het is opgelost en we de openbaarmaking hebben afgesproken.

Wat je in je melding opneemt

• Wat het probleem is en wat een aanvaller ermee zou kunnen doen.
• De betreffende pagina, API-route of botopdracht.
• De stappen om het te reproduceren, met screenshots of een proof of concept.
• Hoe we je kunnen bereiken en, als je dat wilt, de naam waaronder je vermeld wilt worden.

Laat persoonsgegevens van anderen buiten je melding.

Wat je van ons kunt verwachten

• We bevestigen meldingen die binnen de scope vallen binnen 5 werkdagen.
• We controleren het probleem en laten je weten of we het kunnen reproduceren en wat de volgende stap is.
• We houden je op de hoogte terwijl we eraan werken en laten je weten wanneer het is opgelost.
• Als je dat wilt, vermelden we je wanneer we over de oplossing schrijven.

Safe harbor

Als je te goeder trouw handelt en dit beleid volgt, beschouwen we je onderzoek als geautoriseerd. We zullen hiervoor geen juridische stappen tegen je ondernemen en je niet bij de autoriteiten melden. Als iemand anders hierom stappen tegen je onderneemt, maken we duidelijk dat je volgens dit beleid hebt gehandeld.

Dit geldt alleen voor de eigen systemen van TalismanLeads. We kunnen geen toestemming geven om systemen van anderen te testen. Weet je niet zeker of iets is toegestaan? Vraag het ons dan eerst.

Openbaarmaking

Geef ons redelijke tijd om een probleem op te lossen voordat je er iets over publiceert. We streven ernaar bevestigde problemen binnen 90 dagen op te lossen en spreken samen met je een datum af. Sommige problemen duren langer, en we laten het je weten als dat voor jouw probleem geldt.

Beloningen

Dit is een disclosureprogramma, geen bugbounty, dus we betalen niet voor meldingen. We zijn dankbaar voor je hulp en vermelden je daarvoor graag. Meldingen waarin om betaling wordt gevraagd voordat de details worden gedeeld, sluiten we zonder antwoord.

Zodra het probleem is opgelost, kunnen we je ook vermelden in onze Hall of Fame, met wat je hebt gevonden. We noemen je alleen met je toestemming, en je kunt ons op elk moment vragen je vermelding te verwijderen.