Програма розкриття вразливостей

Що входить до області тестування

Будь ласка, тестуйте лише таке:

• Наш вебсайт talismanleads.io та його піддомени, зокрема сторінки входу, акаунта, оплати й безкоштовних інструментів.
• Наш Telegram-бот, @TalismanLeadsV1bot.
• Власні API вебсайту, коли ви звертаєтеся до них зі свого акаунта.

Якщо ви не впевнені, чи належить щось нам, запитайте нас перед тестуванням.

Що не входить до області тестування

Будь ласка, не надсилайте звіти про таке:

• Сервіси інших компаній, як-от Telegram, Cloudflare, платіжні мережі та віджет онлайн-чату. Будь ласка, повідомляйте про такі проблеми їхнім власникам.
• Акаунти й дані інших клієнтів.
• Те, для чого створені наші перевірки та безкоштовні інструменти, наприклад визначення того, чи є в номера або адреси email акаунт.
• Чи зареєстровано в нас адресу email або ім’я користувача, на сторінках реєстрації, входу або скидання пароля.
• Відсутні або слабкі поштові записи (SPF, DKIM, DMARC, BIMI), записи DNSSEC або CAA, а також схожі домени.
• Відсутні заголовки безпеки (CSP, HSTS, X-Frame-Options тощо), прапорці cookie та налаштування SSL/TLS, як-от вибір шифрів, якщо тільки ви не покажете робочу атаку.
• Назви та номери версій програмного забезпечення, банери серверів і публічні файли, як-от robots.txt, карта сайту або security.txt.
• Ключі, призначені для публічного доступу, як-от ключі CAPTCHA, аналітики та браузерного клієнта у вихідному коді сторінки.
• Self-XSS, клікджекінг або CSRF на сторінках без критичних дій, logout CSRF, відкриті редиректи без подальших наслідків, tabnabbing та впровадження тексту, яке не запускає скрипти.
• Обмеження частоти запитів на публічних сторінках і у формах, зокрема флуд листами або реєстраціями, якщо тільки вони не дають комусь змогу захопити акаунт або витратити гроші.
• Правила для паролів, тривалість сеансу, а також те, що двофакторна автентифікація необов’язкова або відсутня.
• Атаки, для яких потрібні фізичний доступ, пристрій із root-доступом або джейлбрейком, застарілий браузер чи вже скомпрометована жертва.
• Фішинг, соціальна інженерія та відмова в обслуговуванні.
• Паролі та інші дані з витоків на інших сайтах, якщо тільки вони не працюють на нашому.
• Результати автоматичних сканерів або інструментів ШІ без робочого підтвердження, а також поради щодо найкращих практик, які не впливають на безпеку.
• Помилки, які не впливають на безпеку, і запитання про ваш акаунт або оплату. Для цього, будь ласка, скористайтеся сторінкою контактів.

Ми можемо закривати звіти про це без відповіді.

Як тестувати безпечно

• Використовуйте лише акаунти, які створили самі, і лише ті номери та адреси email, що належать вам або на використання яких ви маєте дозвіл.
• Не переглядайте, не змінюйте й не видаляйте чужі дані. Якщо ви отримали доступ до чужих даних, зупиніться, не зберігайте їхньої копії та повідомте нас.
• Не проводьте тестів на відмову в обслуговуванні, не закидайте форми запитами, не надсилайте спам і не сповільнюйте роботу сервісу для інших.
• Не намагайтеся обманути наших співробітників або клієнтів і не вдавайтеся до фізичних атак.
• Якщо проблема дає вам баланс або платні послуги, використовуйте їх не більше, ніж потрібно для її демонстрації, і повідомте нас, щоб ми могли це скасувати.
• Не розголошуйте проблему, доки її не усунено і ми не домовилися про її розкриття.

Що вказати у звіті

• У чому полягає проблема і що зловмисник може зробити за її допомогою.
• Зачеплена сторінка, маршрут API або команда бота.
• Кроки для відтворення проблеми зі знімками екрана або proof of concept.
• Як з вами зв’язатися і під яким ім’ям вас згадати, якщо ви цього бажаєте.

Будь ласка, не додавайте до звіту персональні дані інших людей.

Чого очікувати від нас

• Ми підтверджуємо отримання звітів, що входять до області тестування, протягом 5 робочих днів.
• Ми перевіряємо проблему й повідомляємо вас, чи можемо її відтворити і що буде далі.
• Ми інформуємо вас про хід роботи над проблемою і повідомляємо, коли її усунено.
• За вашим бажанням ми згадуємо вас, коли пишемо про виправлення.

Безпечна гавань (safe harbor)

Якщо ви дієте добросовісно й дотримуєтеся цієї політики, ми вважаємо ваше дослідження санкціонованим. Ми не вживатимемо проти вас юридичних дій і не повідомлятимемо про вас органи влади у зв’язку з ним. Якщо хтось інший вживе проти вас дій у зв’язку з ним, ми чітко заявимо, що ви діяли відповідно до цієї політики.

Це поширюється лише на власні системи TalismanLeads. Ми не можемо санкціонувати тестування будь-чиїх інших систем. Якщо ви не впевнені, чи щось дозволено, спершу запитайте нас.

Публічне розкриття

Будь ласка, дайте нам розумний час на усунення проблеми, перш ніж щось про неї публікувати. Ми прагнемо усувати підтверджені проблеми протягом 90 днів і погодимо з вами дату. Усунення деяких проблем триває довше, і якщо це стосується вашої, ми вам повідомимо.

Винагороди

Це програма розкриття вразливостей, а не bug bounty, тому ми не платимо за звіти. Ми вдячні за вашу допомогу й будемо раді згадати вас на знак подяки. Звіти, у яких просять оплату до надання подробиць, закриваються без відповіді.

Після усунення проблеми ми можемо також згадати вас у нашій Залі слави разом із тим, що ви виявили. Ми згадуємо вас лише з вашого дозволу, і ви можете будь-коли попросити нас видалити цей запис.