ولنریبلٹی ڈسکلوژر پروگرام

دائرۂ کار میں کیا شامل ہے

براہِ کرم صرف ان کی ٹیسٹنگ کریں:

• talismanleads.io پر ہماری ویب سائٹ اور اس کے سب ڈومینز، بشمول سائن اِن، اکاؤنٹ، بلنگ اور مفت ٹولز کے صفحات۔
• ہمارا Telegram بوٹ، @TalismanLeadsV1bot۔
• ویب سائٹ کی اپنی APIs، جب آپ اپنے اکاؤنٹ سے ان تک پہنچیں۔

اگر آپ کو یقین نہ ہو کہ کوئی چیز ہماری ہے یا نہیں تو ٹیسٹ کرنے سے پہلے ہم سے پوچھ لیں۔

دائرۂ کار سے باہر کیا ہے

براہِ کرم ان کے بارے میں رپورٹس نہ بھیجیں:

• دوسری کمپنیوں کی چلائی جانے والی سروسز، جیسے Telegram، Cloudflare، ادائیگی کے نیٹ ورکس اور لائیو چیٹ وجیٹ۔ براہِ کرم انہیں ان کے مالکان کو رپورٹ کریں۔
• دوسرے صارفین کے اکاؤنٹس اور ڈیٹا۔
• وہ کام جن کے لیے ہمارے چیکرز اور مفت ٹولز بنائے گئے ہیں، جیسے یہ بتانا کہ کسی نمبر یا ای میل ایڈریس کا اکاؤنٹ ہے یا نہیں۔
• یہ کہ کوئی ای میل ایڈریس یا یوزر نیم ہمارے ہاں پہلے سے رجسٹرڈ ہے یا نہیں، سائن اَپ، سائن اِن یا پاس ورڈ ری سیٹ کے صفحات پر۔
• غائب یا کمزور ای میل ریکارڈز (SPF، DKIM، DMARC، BIMI)، DNSSEC یا CAA ریکارڈز، اور ملتے جلتے ڈومینز۔
• غائب سیکیورٹی ہیڈرز (CSP، HSTS، X-Frame-Options اور اس طرح کے دیگر)، کوکی فلیگز، اور SSL/TLS سیٹنگز جیسے سائفر کا انتخاب، جب تک کہ آپ کوئی قابلِ عمل حملہ نہ دکھائیں۔
• سافٹ ویئر کے نام اور ورژن نمبرز، سرور بینرز، اور عوامی فائلیں جیسے robots.txt، سائٹ میپ یا security.txt۔
• وہ کیز جو عوامی ہونے کے لیے ہی بنی ہیں، جیسے صفحے کے سورس میں موجود CAPTCHA، اینالیٹکس اور براؤزر کلائنٹ کیز۔
• self-XSS، ایسے صفحات پر clickjacking یا CSRF جہاں کوئی حساس عمل نہ ہو، لاگ آؤٹ CSRF، اوپن ری ڈائریکٹس جن کا مزید کوئی اثر نہ ہو، tabnabbing، اور ٹیکسٹ انجیکشن جو کوئی اسکرپٹ نہ چلائے۔
• عوامی صفحات اور فارمز پر ریٹ لمٹس، بشمول ای میل یا سائن اَپ فلڈنگ، جب تک کہ وہ کسی کو اکاؤنٹ پر قبضہ کرنے یا پیسے خرچ کرنے نہ دیں۔
• پاس ورڈ کے قواعد، سیشن کی مدت، اور ٹو فیکٹر تصدیق کا اختیاری یا غیر موجود ہونا۔
• ایسے حملے جن کے لیے جسمانی رسائی، روٹ یا جیل بریک شدہ ڈیوائس، پرانا براؤزر، یا ایسا شکار درکار ہو جو پہلے سے کمپرومائز ہو چکا ہو۔
• فشنگ، سوشل انجینئرنگ اور ڈینائل آف سروس۔
• دوسری سائٹس کے ڈیٹا بریچز سے حاصل ہونے والے پاس ورڈز اور دیگر ڈیٹا، جب تک کہ وہ ہماری سائٹ پر کام نہ کریں۔
• خودکار اسکینرز یا AI ٹولز کے نتائج جن کے ساتھ کوئی قابلِ عمل ثبوت نہ ہو، اور بہترین طریقوں کے بارے میں مشورے جن کا کوئی سیکیورٹی اثر نہ ہو۔
• ایسے بگز جن کا کوئی سیکیورٹی اثر نہ ہو، اور آپ کے اکاؤنٹ یا بلنگ کے بارے میں سوالات۔ براہِ کرم ان کے لیے رابطے کا صفحہ استعمال کریں۔

ہم ان کے بارے میں رپورٹس کو جواب دیے بغیر بند کر سکتے ہیں۔

محفوظ طریقے سے ٹیسٹ کیسے کریں

• صرف وہی اکاؤنٹس استعمال کریں جو آپ نے خود بنائے ہوں، اور صرف وہی نمبرز اور ای میل ایڈریسز جو آپ کے اپنے ہوں یا جنہیں استعمال کرنے کی آپ کو اجازت ہو۔
• جو ڈیٹا آپ کا نہیں اسے نہ پڑھیں، نہ تبدیل کریں اور نہ حذف کریں۔ اگر آپ کسی اور کے ڈیٹا تک پہنچ جائیں تو رک جائیں، اس کی کاپی نہ رکھیں اور ہمیں بتائیں۔
• ڈینائل آف سروس ٹیسٹ نہ چلائیں، فارمز کو فلڈ نہ کریں، اسپام نہ بھیجیں اور دوسروں کے لیے سروس کو سست نہ کریں۔
• ہمارے عملے یا صارفین کو دھوکا دینے کی کوشش نہ کریں، اور جسمانی حملوں کی کوشش نہ کریں۔
• اگر کسی مسئلے سے آپ کو بیلنس یا پیڈ سروسز مل جائیں تو اسے ثابت کرنے کے لیے جتنی ضرورت ہو اس سے زیادہ استعمال نہ کریں، اور ہمیں بتائیں تاکہ ہم اسے واپس کر سکیں۔
• مسئلے کو اس وقت تک نجی رکھیں جب تک وہ ٹھیک نہ ہو جائے اور ہم اس کے انکشاف پر متفق نہ ہو جائیں۔

اپنی رپورٹ میں کیا شامل کریں

• مسئلہ کیا ہے اور حملہ آور اس سے کیا کر سکتا ہے۔
• متاثرہ صفحہ، API روٹ یا بوٹ کمانڈ۔
• اسے دوبارہ پیدا کرنے کے مراحل، اسکرین شاٹس یا پروف آف کانسیپٹ کے ساتھ۔
• آپ سے رابطے کا طریقہ، اور وہ نام جس کے تحت آپ کریڈٹ لینا چاہیں، اگر کوئی ہو۔

براہِ کرم اپنی رپورٹ میں دوسرے لوگوں کا ذاتی ڈیٹا شامل نہ کریں۔

آپ ہم سے کیا توقع رکھ سکتے ہیں

• ہم 5 ورکنگ دنوں کے اندر دائرۂ کار میں آنے والی رپورٹس کی وصولی کی تصدیق کرتے ہیں۔
• ہم مسئلے کی جانچ کرتے ہیں اور آپ کو بتاتے ہیں کہ آیا ہم اسے دوبارہ پیدا کر سکتے ہیں اور آگے کیا ہوگا۔
• ہم اس پر کام کے دوران آپ کو باخبر رکھتے ہیں، اور ٹھیک ہونے پر آپ کو بتاتے ہیں۔
• اگر آپ چاہیں تو جب ہم اس فکس کے بارے میں لکھتے ہیں تو آپ کو کریڈٹ دیتے ہیں۔

سیف ہاربر

اگر آپ نیک نیتی سے کام کریں اور اس پالیسی کی پابندی کریں تو ہم آپ کی تحقیق کو مجاز سمجھتے ہیں۔ ہم اس کی وجہ سے نہ آپ کے خلاف کوئی قانونی کارروائی کریں گے اور نہ حکام کو آپ کی رپورٹ کریں گے۔ اگر کوئی اور اس کی وجہ سے آپ کے خلاف کارروائی کرے تو ہم واضح کریں گے کہ آپ نے اس پالیسی کے تحت کام کیا۔

یہ صرف TalismanLeads کے اپنے سسٹمز پر لاگو ہوتا ہے۔ ہم کسی اور کے سسٹمز کی ٹیسٹنگ کی اجازت نہیں دے سکتے۔ اگر آپ کو یقین نہ ہو کہ کسی چیز کی اجازت ہے یا نہیں تو پہلے ہم سے پوچھ لیں۔

عوامی انکشاف

براہِ کرم کسی مسئلے کے بارے میں کچھ بھی شائع کرنے سے پہلے ہمیں اسے ٹھیک کرنے کے لیے مناسب وقت دیں۔ ہمارا ہدف تصدیق شدہ مسائل کو 90 دنوں کے اندر حل کرنا ہے، اور ہم آپ کے ساتھ ایک تاریخ طے کریں گے۔ کچھ مسائل میں زیادہ وقت لگتا ہے، اور اگر آپ کے مسئلے میں ایسا ہوا تو ہم آپ کو بتائیں گے۔

انعامات

یہ ایک ڈسکلوژر پروگرام ہے، بگ باؤنٹی نہیں، اس لیے ہم رپورٹس کے لیے ادائیگی نہیں کرتے۔ ہم آپ کی مدد کے شکر گزار ہیں، اور اس کے لیے آپ کو کریڈٹ دے کر ہمیں خوشی ہوگی۔ جو رپورٹس تفصیلات شیئر کرنے سے پہلے ادائیگی مانگتی ہیں انہیں جواب دیے بغیر بند کر دیا جاتا ہے۔

مسئلہ ٹھیک ہونے کے بعد ہم آپ کی دریافت کے ساتھ آپ کا نام اپنے ہال آف فیم میں بھی شامل کر سکتے ہیں۔ ہم آپ کا نام صرف آپ کی اجازت سے شامل کرتے ہیں، اور آپ کسی بھی وقت اپنا اندراج ہٹانے کے لیے کہہ سکتے ہیں۔