Программа раскрытия уязвимостей

Что входит в область тестирования

Пожалуйста, тестируйте только следующее:

• Наш веб-сайт talismanleads.io и его поддомены, включая страницы входа, учётной записи, оплаты и бесплатных инструментов.
• Наш бот в Telegram, @TalismanLeadsV1bot.
• Собственные API веб-сайта, когда вы обращаетесь к ним из своей учётной записи.

Если вы не уверены, принадлежит ли что-либо нам, спросите нас перед тестированием.

Что не входит в область тестирования

Пожалуйста, не присылайте отчёты о следующем:

• Сервисы других компаний, такие как Telegram, Cloudflare, платёжные сети и виджет онлайн-чата. Пожалуйста, сообщайте о таких проблемах их владельцам.
• Учётные записи и данные других клиентов.
• То, для чего созданы наши проверки и бесплатные инструменты, например определение того, есть ли у номера или адреса электронной почты учётная запись.
• Зарегистрирован ли у нас адрес электронной почты или имя пользователя, на страницах регистрации, входа или сброса пароля.
• Отсутствующие или слабые почтовые записи (SPF, DKIM, DMARC, BIMI), записи DNSSEC или CAA, а также похожие домены.
• Отсутствующие заголовки безопасности (CSP, HSTS, X-Frame-Options и подобные), флаги cookie и настройки SSL/TLS, такие как выбор шифров, если только вы не покажете работающую атаку.
• Названия и номера версий программного обеспечения, баннеры серверов и публичные файлы, такие как robots.txt, карта сайта или security.txt.
• Ключи, предназначенные для публичного доступа, такие как ключи CAPTCHA, аналитики и браузерного клиента в исходном коде страницы.
• Self-XSS, кликджекинг или CSRF на страницах без критичных действий, logout CSRF, открытые редиректы без дальнейших последствий, tabnabbing и внедрение текста, не запускающее скрипты.
• Ограничения частоты запросов на публичных страницах и в формах, включая флуд письмами или регистрациями, если только они не позволяют кому-либо захватить учётную запись или потратить деньги.
• Правила для паролей, длительность сеанса, а также то, что двухфакторная аутентификация необязательна или отсутствует.
• Атаки, для которых нужны физический доступ, устройство с root-доступом или джейлбрейком, устаревший браузер или уже скомпрометированная жертва.
• Фишинг, социальная инженерия и отказ в обслуживании.
• Пароли и другие данные из утечек на других сайтах, если только они не работают на нашем.
• Результаты автоматических сканеров или инструментов ИИ без рабочего подтверждения, а также рекомендации по лучшим практикам, не влияющие на безопасность.
• Ошибки, не влияющие на безопасность, и вопросы о вашей учётной записи или оплате. Для этого, пожалуйста, используйте страницу контактов.

Мы можем закрывать отчёты об этом без ответа.

Как тестировать безопасно

• Используйте только учётные записи, созданные вами лично, и только те номера и адреса электронной почты, которые принадлежат вам или на использование которых у вас есть разрешение.
• Не просматривайте, не изменяйте и не удаляйте чужие данные. Если вы получили доступ к чужим данным, остановитесь, не сохраняйте их копию и сообщите нам.
• Не проводите тесты на отказ в обслуживании, не заваливайте формы запросами, не рассылайте спам и не замедляйте работу сервиса для других.
• Не пытайтесь обмануть наших сотрудников или клиентов и не предпринимайте физических атак.
• Если проблема даёт вам баланс или платные услуги, используйте их не больше, чем нужно для её демонстрации, и сообщите нам, чтобы мы могли это отменить.
• Не разглашайте проблему, пока она не устранена и мы не договорились о её раскрытии.

Что указать в отчёте

• В чём заключается проблема и что с её помощью может сделать злоумышленник.
• Затронутая страница, маршрут API или команда бота.
• Шаги для воспроизведения проблемы со снимками экрана или proof of concept.
• Как с вами связаться и под каким именем вас упомянуть, если вы этого хотите.

Пожалуйста, не включайте в отчёт персональные данные других людей.

Чего ожидать от нас

• Мы подтверждаем получение отчётов, входящих в область тестирования, в течение 5 рабочих дней.
• Мы проверяем проблему и сообщаем вам, можем ли мы её воспроизвести и что будет дальше.
• Мы держим вас в курсе работы над проблемой и сообщаем, когда она устранена.
• По вашему желанию мы упоминаем вас, когда пишем об исправлении.

Безопасная гавань (safe harbor)

Если вы действуете добросовестно и соблюдаете эту политику, мы считаем ваше исследование санкционированным. Мы не будем предпринимать против вас юридических действий и не будем сообщать о вас в органы власти в связи с ним. Если кто-либо другой предпримет против вас действия в связи с ним, мы ясно заявим, что вы действовали в соответствии с этой политикой.

Это распространяется только на собственные системы TalismanLeads. Мы не можем санкционировать тестирование чьих-либо ещё систем. Если вы не уверены, разрешено ли что-либо, сначала спросите нас.

Публичное раскрытие

Пожалуйста, дайте нам разумное время на устранение проблемы, прежде чем что-либо о ней публиковать. Мы стремимся устранять подтверждённые проблемы в течение 90 дней и согласуем с вами дату. Устранение некоторых проблем занимает больше времени, и если это касается вашей, мы вам сообщим.

Вознаграждения

Это программа раскрытия уязвимостей, а не bug bounty, поэтому мы не платим за отчёты. Мы благодарны за вашу помощь и будем рады упомянуть вас в знак признательности. Отчёты, в которых просят оплату до передачи подробностей, закрываются без ответа.

После устранения проблемы мы можем также указать вас в нашем Зале славы вместе с тем, что вы обнаружили. Мы указываем вас только с вашего разрешения, и вы можете в любой момент попросить нас удалить эту запись.