Güvenlik Açığı Bildirim Programı

Neler Kapsamda

Lütfen yalnızca şunları test edin:

• talismanleads.io adresindeki web sitemiz ve alt alan adları; oturum açma, hesap, faturalandırma ve ücretsiz araç sayfaları dahil.
• Telegram botumuz, @TalismanLeadsV1bot.
• Kendi hesabınızdan eriştiğinizde web sitesinin kendi API'leri.

Bir şeyin bize ait olup olmadığından emin değilseniz test etmeden önce bize sorun.

Neler Kapsam Dışında

Lütfen şunlarla ilgili rapor göndermeyin:

• Telegram, Cloudflare, ödeme ağları ve canlı sohbet aracı gibi başka şirketlerin işlettiği hizmetler. Lütfen bunları sahiplerine bildirin.
• Diğer müşterilerin hesapları ve verileri.
• Denetleyicilerimizin ve ücretsiz araçlarımızın yapmak üzere tasarlandığı işler; örneğin bir numaranın veya e-posta adresinin hesabı olup olmadığını söylemek.
• Kayıt olma, oturum açma veya şifre sıfırlama sayfalarında bir e-posta adresinin veya kullanıcı adının bizde zaten kayıtlı olup olmadığı.
• Eksik veya zayıf e-posta kayıtları (SPF, DKIM, DMARC, BIMI), DNSSEC veya CAA kayıtları ve benzer görünümlü alan adları.
• Eksik güvenlik başlıkları (CSP, HSTS, X-Frame-Options ve benzerleri), çerez bayrakları ve şifreleme paketi seçimleri gibi SSL/TLS ayarları; çalışan bir saldırı göstermediğiniz sürece.
• Yazılım adları ve sürüm numaraları, sunucu bannerları ve robots.txt, site haritası veya security.txt gibi herkese açık dosyalar.
• Herkese açık olması amaçlanan anahtarlar; örneğin sayfa kaynağındaki CAPTCHA, analiz ve tarayıcı istemcisi anahtarları.
• Self-XSS, hassas işlem içermeyen sayfalarda clickjacking veya CSRF, çıkış (logout) CSRF'si, başka etkisi olmayan açık yönlendirmeler (open redirect), tabnabbing ve betik çalıştırmayan metin enjeksiyonu.
• Herkese açık sayfalardaki ve formlardaki istek sınırları, e-posta veya kayıt bombardımanı dahil; birinin bir hesabı ele geçirmesine veya para harcamasına olanak tanımadıkları sürece.
• Şifre kuralları, oturum süresi ve iki faktörlü kimlik doğrulamanın isteğe bağlı olması veya bulunmaması.
• Fiziksel erişim, root'lanmış veya jailbreak yapılmış bir cihaz, güncel olmayan bir tarayıcı ya da zaten ele geçirilmiş bir kurban gerektiren saldırılar.
• Kimlik avı (phishing), sosyal mühendislik ve hizmet engelleme (DoS).
• Başka sitelerin veri ihlallerinden elde edilen şifreler ve diğer veriler; bizim sitemizde çalışmadıkları sürece.
• Çalışan bir kanıt içermeyen otomatik tarayıcı veya yapay zeka aracı çıktıları ve güvenlik etkisi olmayan en iyi uygulama tavsiyeleri.
• Güvenlik etkisi olmayan hatalar ve hesabınız veya faturalandırmanızla ilgili sorular. Bunlar için lütfen iletişim sayfasını kullanın.

Bunlarla ilgili raporları yanıt vermeden kapatabiliriz.

Güvenli Şekilde Nasıl Test Edilir

• Yalnızca kendi oluşturduğunuz hesapları ve yalnızca size ait olan veya kullanma izniniz bulunan numaraları ve e-posta adreslerini kullanın.
• Size ait olmayan verileri okumayın, değiştirmeyin veya silmeyin. Başka birinin verilerine ulaşırsanız durun, kopyasını saklamayın ve bize bildirin.
• Hizmet engelleme (DoS) testleri yapmayın, formları aşırı istekle doldurmayın, spam göndermeyin ve hizmeti başkaları için yavaşlatmayın.
• Çalışanlarımızı veya müşterilerimizi kandırmaya çalışmayın ve fiziksel saldırı girişiminde bulunmayın.
• Bir sorun size bakiye veya ücretli hizmet sağlıyorsa, sorunu göstermek için gerekenden fazlasını kullanmayın ve geri alabilmemiz için bize bildirin.
• Sorun düzeltilene ve açıklama konusunda anlaşana kadar sorunu gizli tutun.

Raporunuzda Neler Yer Almalı

• Sorunun ne olduğu ve bir saldırganın bununla neler yapabileceği.
• Etkilenen sayfa, API yolu veya bot komutu.
• Ekran görüntüleri veya kavram kanıtı (proof of concept) ile birlikte sorunu yeniden oluşturma adımları.
• Size nasıl ulaşabileceğimiz ve varsa anılmak istediğiniz isim.

Lütfen raporunuza başkalarının kişisel verilerini eklemeyin.

Bizden Neler Bekleyebilirsiniz

• Kapsam içindeki raporların alındığını 5 iş günü içinde onaylarız.
• Sorunu inceler, yeniden oluşturup oluşturamadığımızı ve sonraki adımları size bildiririz.
• Üzerinde çalışırken sizi bilgilendirir, düzeltildiğinde haber veririz.
• İsterseniz, düzeltme hakkında yazarken adınızı anarız.

Güvenli Liman

İyi niyetle hareket eder ve bu politikaya uyarsanız araştırmanızı yetkilendirilmiş kabul ederiz. Bu nedenle size karşı yasal işlem başlatmayacağız ve sizi yetkililere bildirmeyeceğiz. Başka biri bu nedenle size karşı işlem başlatırsa, bu politika kapsamında hareket ettiğinizi açıkça belirteceğiz.

Bu, yalnızca TalismanLeads hizmetinin kendi sistemlerini kapsar. Başkalarına ait sistemlerin test edilmesine yetki veremeyiz. Bir şeye izin verilip verilmediğinden emin değilseniz önce bize sorun.

Kamuya Açıklama

Lütfen bir sorun hakkında herhangi bir şey yayımlamadan önce düzeltmemiz için bize makul bir süre tanıyın. Doğrulanmış sorunları 90 gün içinde çözmeyi hedefliyoruz ve sizinle bir tarih üzerinde anlaşacağız. Bazı sorunlar daha uzun sürer; sizinki de öyleyse size bildireceğiz.

Ödüller

Bu bir bildirim programıdır, ödül programı (bug bounty) değildir; bu nedenle raporlar için ödeme yapmıyoruz. Yardımınız için minnettarız ve bunun için adınızı anmaktan memnuniyet duyarız. Ayrıntıları paylaşmadan önce ödeme isteyen raporlar yanıtsız olarak kapatılır.

Sorun giderildikten sonra, bulduğunuz şeyle birlikte adınızı Onur Listemizde de belirtebiliriz. Adınızı yalnızca izninizle belirtiriz ve kaydınızın kaldırılmasını istediğiniz zaman isteyebilirsiniz.