Program ujawniania podatności

Co wchodzi w zakres

Prosimy o testowanie wyłącznie tych elementów:

• Nasza strona internetowa pod adresem talismanleads.io i jej subdomeny, w tym strony logowania, konta, płatności i darmowych narzędzi.
• Nasz bot Telegram, @TalismanLeadsV1bot.
• Własne API strony, jeśli korzystasz z nich ze swojego konta.

Jeśli nie wiesz, czy coś należy do nas, zapytaj, zanim zaczniesz to testować.

Co nie wchodzi w zakres

Prosimy nie wysyłać zgłoszeń w tych sprawach:

• Usługi innych firm, takie jak Telegram, Cloudflare, sieci płatnicze i widżet czatu na żywo. Takie problemy zgłaszaj ich właścicielom.
• Konta i dane innych klientów.
• To, do czego służą nasze usługi sprawdzania i darmowe narzędzia, na przykład informowanie, czy dany numer lub adres e-mail ma konto.
• To, czy adres e-mail lub nazwa użytkownika są już u nas zarejestrowane, na stronach rejestracji, logowania lub resetowania hasła.
• Brakujące lub słabe rekordy poczty e-mail (SPF, DKIM, DMARC, BIMI), DNSSEC lub CAA oraz domeny łudząco podobne.
• Brakujące nagłówki bezpieczeństwa (CSP, HSTS, X-Frame-Options i podobne), flagi ciasteczek oraz ustawienia SSL/TLS, takie jak wybór szyfrów, chyba że wykażesz działający atak.
• Nazwy oprogramowania i numery wersji, banery serwera oraz pliki publiczne, takie jak robots.txt, mapa witryny czy security.txt.
• Klucze, które z założenia są publiczne, takie jak klucze CAPTCHA, analityki i klienta przeglądarkowego w kodzie źródłowym strony.
• Self-XSS, clickjacking lub CSRF na stronach bez wrażliwych działań, CSRF wylogowania, otwarte przekierowania bez dalszych skutków, tabnabbing oraz wstrzykiwanie tekstu, które nie uruchamia żadnego skryptu.
• Limity żądań na publicznych stronach i formularzach, w tym zalewanie wiadomościami e-mail lub rejestracjami, chyba że pozwalają komuś przejąć konto lub wydać pieniądze.
• Zasady dotyczące haseł, długość sesji oraz to, że uwierzytelnianie dwuskładnikowe jest opcjonalne lub go nie ma.
• Ataki wymagające fizycznego dostępu, urządzenia z rootem lub jailbreakiem, nieaktualnej przeglądarki lub ofiary, której bezpieczeństwo zostało już naruszone.
• Phishing, socjotechnika i denial of service.
• Hasła i inne dane z wycieków z innych serwisów, chyba że działają w naszym serwisie.
• Wyniki automatycznych skanerów lub narzędzi AI bez działającego dowodu oraz porady dotyczące dobrych praktyk bez wpływu na bezpieczeństwo.
• Błędy bez wpływu na bezpieczeństwo oraz pytania dotyczące Twojego konta lub płatności. W tych sprawach skorzystaj ze strony kontaktowej.

Zgłoszenia w tych sprawach możemy zamykać bez odpowiedzi.

Jak bezpiecznie testować

• Korzystaj tylko z kont założonych przez siebie oraz tylko z numerów i adresów e-mail, które należą do Ciebie lub na których używanie masz zgodę.
• Nie odczytuj, nie zmieniaj ani nie usuwaj danych, które nie należą do Ciebie. Jeśli uzyskasz dostęp do cudzych danych, przerwij, nie zachowuj ich kopii i poinformuj nas o tym.
• Nie przeprowadzaj testów typu denial of service, nie zalewaj formularzy, nie wysyłaj spamu ani nie spowalniaj usługi innym.
• Nie próbuj wprowadzać w błąd naszych pracowników ani klientów i nie podejmuj prób ataków fizycznych.
• Jeśli problem daje Ci saldo lub płatne usługi, wykorzystaj tylko tyle, ile potrzeba do jego wykazania, i poinformuj nas, abyśmy mogli to cofnąć.
• Zachowaj problem w poufności do czasu jego usunięcia i uzgodnienia z nami jego ujawnienia.

Co zawrzeć w zgłoszeniu

• Na czym polega problem i co atakujący mógłby dzięki niemu zrobić.
• Strona, trasa API lub polecenie bota, których dotyczy problem.
• Kroki pozwalające go odtworzyć, ze zrzutami ekranu lub proof of concept.
• Sposób kontaktu z Tobą oraz, jeśli sobie tego życzysz, nazwa, pod jaką mamy Cię wymienić.

Nie umieszczaj w zgłoszeniu danych osobowych innych osób.

Czego możesz od nas oczekiwać

• Potwierdzamy otrzymanie zgłoszeń wchodzących w zakres w ciągu 5 dni roboczych.
• Sprawdzamy problem i informujemy Cię, czy udało się go odtworzyć oraz co będzie dalej.
• Informujemy Cię na bieżąco o postępach prac i dajemy znać, gdy problem zostanie usunięty.
• Jeśli sobie tego życzysz, wymieniamy Cię, gdy piszemy o usunięciu problemu.

Bezpieczna przystań (safe harbor)

Jeśli działasz w dobrej wierze i przestrzegasz niniejszej polityki, uznajemy Twoje badania za autoryzowane. Nie podejmiemy z tego powodu kroków prawnych przeciwko Tobie ani nie zgłosimy Cię władzom. Jeśli ktoś inny podejmie przeciwko Tobie działania w tej sprawie, jasno wskażemy, że Twoje działania były zgodne z niniejszą polityką.

Dotyczy to wyłącznie własnych systemów TalismanLeads. Nie możemy zezwolić na testowanie systemów nikogo innego. Jeśli masz wątpliwości, czy coś jest dozwolone, najpierw nas zapytaj.

Publiczne ujawnienie

Daj nam rozsądny czas na usunięcie problemu, zanim cokolwiek o nim opublikujesz. Dążymy do usuwania potwierdzonych problemów w ciągu 90 dni i uzgodnimy z Tobą termin. Usunięcie niektórych problemów trwa dłużej i poinformujemy Cię, jeśli dotyczy to Twojego zgłoszenia.

Nagrody

To program ujawniania, a nie bug bounty, dlatego nie płacimy za zgłoszenia. Jesteśmy wdzięczni za Twoją pomoc i chętnie Cię za nią wymienimy. Zgłoszenia, w których przed przekazaniem szczegółów żąda się zapłaty, zamykamy bez odpowiedzi.

Po usunięciu problemu możemy też wymienić Cię w naszej Galerii sław wraz z tym, co udało Ci się znaleźć. Wymieniamy Cię tylko za Twoją zgodą, a w każdej chwili możesz poprosić o usunięcie wpisu.