Chương trình công bố lỗ hổng bảo mật

Những gì thuộc phạm vi

Vui lòng chỉ kiểm thử những mục sau:

• Trang web của chúng tôi tại talismanleads.io và các tên miền phụ, bao gồm các trang đăng nhập, tài khoản, thanh toán và công cụ miễn phí.
• Bot Telegram của chúng tôi, @TalismanLeadsV1bot.
• Các API của chính trang web, khi bạn truy cập từ tài khoản của mình.

Nếu bạn không chắc một mục có phải của chúng tôi hay không, hãy hỏi chúng tôi trước khi kiểm thử.

Những gì nằm ngoài phạm vi

Vui lòng không gửi báo cáo về:

• Các dịch vụ do công ty khác vận hành, chẳng hạn như Telegram, Cloudflare, mạng lưới thanh toán và tiện ích trò chuyện trực tuyến. Vui lòng báo cáo những vấn đề đó cho chủ sở hữu của họ.
• Tài khoản và dữ liệu của khách hàng khác.
• Những gì các trình kiểm tra và công cụ miễn phí của chúng tôi được xây dựng để thực hiện, chẳng hạn như cho biết một số điện thoại hoặc địa chỉ email có tài khoản hay không.
• Việc một địa chỉ email hoặc tên người dùng đã được đăng ký với chúng tôi hay chưa, trên các trang đăng ký, đăng nhập hoặc đặt lại mật khẩu.
• Thiếu hoặc yếu các bản ghi email (SPF, DKIM, DMARC, BIMI), bản ghi DNSSEC hoặc CAA, và các tên miền trông tương tự.
• Thiếu các header bảo mật (CSP, HSTS, X-Frame-Options và tương tự), cờ cookie và các cài đặt SSL/TLS như lựa chọn bộ mã hóa, trừ khi bạn chứng minh được một cuộc tấn công hoạt động thực tế.
• Tên và số phiên bản phần mềm, banner máy chủ và các tệp công khai như robots.txt, sitemap hoặc security.txt.
• Các khóa vốn được thiết kế để công khai, chẳng hạn như khóa CAPTCHA, phân tích và ứng dụng khách trình duyệt trong mã nguồn của trang.
• Self-XSS, clickjacking hoặc CSRF trên các trang không có thao tác nhạy cảm, logout CSRF, open redirect không có tác động thêm, tabnabbing và chèn văn bản không chạy script.
• Giới hạn tốc độ trên các trang và biểu mẫu công khai, bao gồm gửi ồ ạt email hoặc đăng ký, trừ khi chúng cho phép ai đó chiếm đoạt tài khoản hoặc tiêu tiền.
• Quy tắc mật khẩu, thời lượng phiên và việc xác thực hai yếu tố là tùy chọn hoặc không có.
• Các cuộc tấn công cần truy cập vật lý, thiết bị đã root hoặc jailbreak, trình duyệt lỗi thời hoặc nạn nhân đã bị xâm phạm.
• Phishing, social engineering và từ chối dịch vụ.
• Mật khẩu và dữ liệu khác từ các vụ rò rỉ của trang web khác, trừ khi chúng hoạt động trên trang web của chúng tôi.
• Kết quả từ công cụ quét tự động hoặc công cụ AI mà không có bằng chứng hoạt động thực tế, và lời khuyên về thực tiễn tốt nhất không có tác động đến bảo mật.
• Các lỗi không ảnh hưởng đến bảo mật và câu hỏi về tài khoản hoặc thanh toán của bạn. Vui lòng sử dụng trang liên hệ cho những vấn đề đó.

Chúng tôi có thể đóng các báo cáo về những nội dung này mà không phản hồi.

Cách kiểm thử an toàn

• Chỉ sử dụng các tài khoản do chính bạn tạo, và chỉ các số điện thoại và địa chỉ email mà bạn sở hữu hoặc được phép sử dụng.
• Không đọc, thay đổi hoặc xóa dữ liệu không phải của bạn. Nếu bạn truy cập vào dữ liệu của người khác, hãy dừng lại, không giữ bản sao và báo cho chúng tôi.
• Không chạy các bài kiểm thử từ chối dịch vụ, gửi ồ ạt vào biểu mẫu, gửi thư rác hoặc làm chậm dịch vụ đối với người khác.
• Không tìm cách lừa nhân viên hoặc khách hàng của chúng tôi, và không thực hiện tấn công vật lý.
• Nếu một vấn đề mang lại cho bạn số dư hoặc dịch vụ trả phí, chỉ sử dụng ở mức cần thiết để chứng minh vấn đề, và báo cho chúng tôi để chúng tôi có thể hoàn tác.
• Giữ kín vấn đề cho đến khi vấn đề được khắc phục và hai bên đã thống nhất về việc công bố.

Những gì cần có trong báo cáo

• Vấn đề là gì và kẻ tấn công có thể làm gì với vấn đề đó.
• Trang, tuyến API hoặc lệnh bot bị ảnh hưởng.
• Các bước tái hiện, kèm ảnh chụp màn hình hoặc proof of concept.
• Cách liên hệ với bạn, và tên bạn muốn được ghi nhận, nếu có.

Vui lòng không đưa dữ liệu cá nhân của người khác vào báo cáo.

Những gì bạn có thể mong đợi từ chúng tôi

• Chúng tôi xác nhận đã nhận các báo cáo thuộc phạm vi trong vòng 5 ngày làm việc.
• Chúng tôi kiểm tra vấn đề và cho bạn biết liệu chúng tôi có thể tái hiện được không và bước tiếp theo là gì.
• Chúng tôi cập nhật cho bạn trong khi xử lý và báo cho bạn khi vấn đề đã được khắc phục.
• Nếu bạn muốn, chúng tôi sẽ ghi nhận bạn khi viết về bản sửa lỗi.

Bảo vệ pháp lý (safe harbor)

Nếu bạn hành động thiện chí và tuân thủ chính sách này, chúng tôi coi hoạt động nghiên cứu của bạn là được phép. Chúng tôi sẽ không thực hiện hành động pháp lý đối với bạn hoặc báo cáo bạn với cơ quan chức năng vì hoạt động đó. Nếu người khác có hành động đối với bạn liên quan đến hoạt động đó, chúng tôi sẽ nêu rõ rằng bạn đã hành động theo chính sách này.

Điều này chỉ áp dụng cho các hệ thống của chính TalismanLeads. Chúng tôi không thể cho phép kiểm thử hệ thống của bất kỳ ai khác. Nếu bạn không chắc một việc có được phép hay không, hãy hỏi chúng tôi trước.

Công bố công khai

Vui lòng cho chúng tôi thời gian hợp lý để khắc phục vấn đề trước khi bạn đăng bất cứ điều gì về vấn đề đó. Chúng tôi đặt mục tiêu giải quyết các vấn đề đã xác nhận trong vòng 90 ngày và sẽ thống nhất ngày với bạn. Một số vấn đề cần nhiều thời gian hơn, và chúng tôi sẽ cho bạn biết nếu vấn đề của bạn là như vậy.

Phần thưởng

Đây là chương trình công bố lỗ hổng, không phải bug bounty, nên chúng tôi không trả tiền cho các báo cáo. Chúng tôi biết ơn sự giúp đỡ của bạn và sẵn lòng ghi nhận đóng góp của bạn. Các báo cáo đòi thanh toán trước khi chia sẻ chi tiết sẽ bị đóng mà không phản hồi.

Sau khi sự cố được khắc phục, chúng tôi cũng có thể ghi tên bạn trong Bảng vinh danh của chúng tôi, cùng với những gì bạn đã phát hiện. Chúng tôi chỉ ghi tên bạn khi được bạn cho phép, và bạn có thể yêu cầu chúng tôi xóa mục của bạn bất cứ lúc nào.