সৎ উদ্দেশ্যে গবেষণা কখনোই আইনজীবীদের মুখোমুখি হয় না।

Security research makes the product safer, and we want the report to reach us before it reaches an attacker. If you follow this policy, we will: acknowledge your report quickly, work with you to understand and validate it, keep you informed while we fix it, credit you if you want to be credited, and not pursue or support legal action against you for the research. That last commitment is the point of this document, and clause 07 states it in terms.

ইমেইল করুন security@transglot.ai। আপনি কী খুঁজে পেয়েছেন, কোথায় পেয়েছেন, এটি পুনরুৎপাদনের ধাপগুলো, একজন আক্রমণকারী এটি দিয়ে কী করতে পারে এবং এটি নিশ্চিত করতে আমাদের সাহায্য করে এমন যেকোনো তথ্য অন্তর্ভুক্ত করুন: একটি রিকোয়েস্ট ও রেসপন্স, একটি সংক্ষিপ্ত ভিডিও, বা প্রমাণের ধারণা। আপনি কৃতিত্ব পেতে চান কিনা এবং কোন নামে তা আমাদের জানান। সম্ভব হলে ইংরেজিতে লিখুন। যদি আপনি রিপোর্টটি এনক্রিপ্ট করতে চান, তবে প্রথম বার্তায় জানান এবং আমরা একটি কী আদান-প্রদান করব। আমরা একই ঠিকাসহ একটি security.txt ফাইলও প্রকাশ করি, যাতে একটি স্বয়ংক্রিয় স্ক্যানার এমন একটি মেইলবক্সের দিকে নির্দেশ করে যা একজন ব্যক্তি পড়েন।

আমরা তিন কর্মদিবসের মধ্যে একটি রিপোর্টের স্বীকৃতি দেই। আমরা এটি পুনরুৎপাদন করা যায় কিনা এবং আমরা এটির রেটিং কীভাবে দিয়েছি তা সহ একটি প্রাথমিক মূল্যায়ন দশ কর্মদিবসের মধ্যে প্রদান করি। কোনো ফিক্স চালু হলে আমরা আপনাকে জানাব এবং সাধারণত উচ্চ বা গুরুত্বপূর্ণ সমস্যার জন্য এটি যাচাই করার পর নব্বই দিনের মধ্যে ফিক্সটি চালু করে দেব, ঝুঁকি সক্রিয় থাকলে আরও দ্রুত। যদি ফিক্সটি বেশি সময় নেয়, তবে আমরা নীরব না থেকে এর কারণ জানাব। আমরা কোনো বিষয় প্রকাশ করার আগে আপনাকে জানাব এবং আপনার অনুমতি ছাড়া আপনার নাম প্রকাশ করব না।

বিবরণ প্রকাশ করার আগে আপনার প্রথম রিপোর্ট থেকে আমাদের নব্বই দিন সময় দিন, এবং যদি ফিক্সটি সত্যিই জটিল হয় বা গ্রাহকের পদক্ষেপের প্রয়োজন হয় তবে সম্মতির ভিত্তিতে আরও সময় নিন। আমরা এই সময়টি সমস্যাটি চাপা দেওয়ার জন্য ব্যবহার করব না: আমরা আপনাকে আপডেট রাখব, এবং যদি আমরা এটি ঠিক করতে না পারি তবে তাও আপনাকে জানাব, এবং সময় শেষ হলে প্রকাশনার বিরোধিতা করব না। যদি কোনো সমস্যা সক্রিয়ভাবে শোষণ করা হয়, তবে অবিলম্বে আমাদের জানান এবং আমরা সেই গতিতে কাজ করব। আমরা যৌথ পরামর্শের সমন্বয় করতে এবং প্রয়োজনীয় ক্ষেত্রে CVE অনুরোধ করতে আগ্রহী।

আমাদের নিজস্ব ডোমেইনে থাকা প্রোডাকশন ওয়েব অ্যাপ্লিকেশন এবং মার্কেটিং সাইট, পাবলিক REST API, ডেলিভারি এন্ডপয়েন্ট, ইন-কনটেক্সট এডিটর এবং এর এমবেড সারফেস, আমাদের প্রকাশিত ক্লায়েন্ট প্যাকেজ, আমাদের ওয়েবহুক ডেলিভারি এবং সাইনিং, আমাদের প্রমাণীকরণ এবং সিঙ্গেল সাইন-অন ফ্লো, এবং ইন্টারনেট থেকে প্রাপ্যযোগ্য আমাদের পাবলিক ইনফ্রাস্ট্রাকচার। ডিজাইন সিদ্ধান্ত সম্পর্কিত রিপোর্ট, যা আমরা ইচ্ছাকৃত ট্রেড-অফ হিসেবে নথিভুক্ত করেছি (যেমন শেয়ার্ড এক্সাক্ট-ম্যাচ ট্রান্সলেশন মেমোরি পুল বা লাইভ ভলিউমে ডিস্ক-লেভেল এনক্রিপশনের অনুপস্থিতি), সেগুলো যুক্তি হিসেবে স্বাগত কিন্তু দুর্বলতা নয়: এগুলো নিরাপত্তা পৃষ্ঠায় উল্লেখ করা আছে যাতে একজন গবেষক এমন কিছু প্রমাণ করার জন্য বিকেল কাটান না যা আমরা ইতিমধ্যে প্রকাশ করেছি।

আমাদের দ্বারা পরিচালিত নয় এমন যেকোনো কিছু, যার মধ্যে রয়েছে গ্রাহকের নিজস্ব ওয়েবসাইট, তৃতীয় পক্ষের ইন্টিগ্রেশন এবং কোনো কানেক্টরের মাধ্যমে প্রাপ্ত যেকোনো সিস্টেম। ডিনায়াল অফ সার্ভিস, ভলিউমেট্রিক বা রিসোর্স এক্সহশন টেস্টিং, এবং অন্য ব্যবহারকারীদের জন্য সেবা হ্রাস করে এমন যেকোনো কার্যক্রম। সামাজিক প্রকৌশল, ফিশিং, বা আমাদের কর্মী, অফিস বা সরবরাহকারীদের বিরুদ্ধে শারীরিক প্রচেষ্টা। স্প্যাম, এবং কোনো বিশ্লেষণ ছাড়া স্বয়ংক্রিয় স্ক্যানার দ্বারা তৈরি রিপোর্ট। যেসব ফলাফল শুধুমাত্র একটি অনুপস্থিত সেরা-অনুশীলন হেডার, কোনো প্রদর্শিত প্রভাব ছাড়া একটি কুকি ফ্ল্যাগ, কোনো শোষণযোগ্য পথ ছাড়া একটি outdated লাইব্রেরি, এটি অতিক্রম করে পাওয়া একটি রেট লিমিট, একটি স্ব-সৃষ্ট ক্রস-সাইট স্ক্রিপ্টিং, কোনো সংবেদনশীল কার্যক্রম ছাড়া একটি পৃষ্ঠায় ক্লিকজ্যাকিং রিপোর্ট, বা একটি প্রশস্ত কন্টেন্ট সিকিউরিটি পলিসির অনুপস্থিতি, যা আমরা ইতিমধ্যে একটি ফাঁক হিসেবে নথিভুক্ত করেছি। যেসব দুর্বলতার জন্য ভিকটিমের আনলক করা ডিভাইসে শারীরিক প্রবেশাধিকার বা ভিকটিমের নিজস্ব মেশিনের রুট-লেভেল কম্প্রোমাইজের প্রয়োজন হয়।

যদি আপনি আপনার গবেষণার সময় এই নীতিমালা মেনে চলার সদুদ্দেশ্যে চেষ্টা করেন, তবে আমরা আপনার গবেষণাকে অনুমোদিত বলে বিবেচনা করব, সমস্যাটি দ্রুত বুঝতে ও সমাধান করতে আমরা আপনার সাথে কাজ করব, এবং কম্পিউটার অপব্যবহার, অ্যান্টি-হ্যাকিং, অ্যান্টি-সারকামভেনশন বা চুক্তি আইনের অধীনে, এবং গ্রহণযোগ্য ব্যবহার নীতিমালা বা সেবার শর্তাবলীর অধীনে যেকোনো দাবি সহ, আমরা আপনার বিরুদ্ধে আইনি ব্যবস্থা গ্রহণের সুপারিশ করব না বা তা অনুসরণ করব না। যদি এই নীতিমালার অধীনে পরিচালিত গবেষণার জন্য কোনো তৃতীয় পক্ষ আপনার বিরুদ্ধে মামলা করে, তবে আমরা জানিয়ে দেব যে আপনার কার্যক্রম অনুমোদিত ছিল। এই নিরাপদ আশ্রয় শুধুমাত্র আমাদের ক্ষেত্রে প্রযোজ্য: এটি আপনাকে তৃতীয় পক্ষ, অন্য কোনো গ্রাহক বা অন্য কারো সিস্টেমের বিরুদ্ধে কাজ করার অনুমতি দেয় না।

শুধুমাত্র সেই লগইন এবং অ্যাকাউন্ট ব্যবহার করুন যা আপনার নিজস্ব বা যার জন্য আপনার স্পষ্ট অনুমতি আছে, এবং অন্য কারো ওপর নজর রাখার পরিবর্তে আপনার নিজস্ব বিনামূল্যের ওয়ার্কস্পেস তৈরি করুন। আপনার নয় এমন ডেটা অ্যাক্সেস, পরিবর্তন, কপি, বের করে নেওয়া বা ধ্বংস করবেন না, এবং যদি আপনি ভুলবশত গ্রাহকের ডেটা পান, তবে থামুন, এটি সংরক্ষণ করবেন না, এবং এক্সপোজার মূল্যায়নের জন্য আমরা কী দেখেছি তা অবিলম্বে আমাদের জানান। প্রাপ্যতা হ্রাস করবেন না বা লোড, স্ট্রেস বা ডিনায়াল অফ সার্ভিস টেস্ট চালাবেন না। এটি প্রদর্শনের জন্য প্রয়োজনের চেয়ে বেশি অ্যাক্সেস পেতে একটি ফলাফল ব্যবহার করবেন না, এবং স্থায়িত্ব বজায় রাখবেন না। চাঁদাবাজি করবেন না, এবং প্রকাশনার শর্ত হিসেবে অর্থপ্রদান দাবি করবেন না। ক্লজ ০৪ অনুমতি দেওয়ার আগে প্রকাশ করবেন না। প্রযোজ্য আইন এবং আপনার ওপর প্রযোজ্য যেকোনো রপ্তানি নিয়ন্ত্রণ বা নিষেধাজ্ঞা বিধিনিষেধ মেনে চলুন।

বর্তমানে কোনো বেতনভুক্ত বাগ বাউন্টি নেই। আমরা যা অফার করি তা হলো একটি দ্রুত, মানবিক প্রতিক্রিয়া, আপনি চাইলে পাবলিক স্বীকৃতিতে কৃতিত্ব, গুরুত্বপূর্ণ ফলাফলের জন্য একটি লিখিত রেফারেন্স, এবং উপরের নিরাপদ আশ্রয়। যদি আমরা একটি বেতনভুক্ত প্রোগ্রাম শুরু করি, তবে প্রথম submission নেওয়ার আগে আমরা এখানে স্কোপ এবং রেঞ্জ প্রকাশ করব।

আমরা আপনার রিপোর্ট গ্রহণের শর্ত হিসেবে আপনাকে নন-ডিসক্লোজার অ্যাগ্রিমেন্ট স্বাক্ষর করতে বলব না এবং আমরা রিপোর্ট সাবমিশন ফর্ম ব্যবহার করব না আপনাকে নীরবতা বেঁধে রাখার উপায় হিসেবে। আমরা আপনাকে হুমকি দেব না যদি রিপোর্টটি কম গুরুত্বপূর্ণ বা ডুপ্লিকেট হয়। আমরা আপনাকে আপনার নিয়োগকর্তা, বিশ্ববিদ্যালয় বা প্ল্যাটফর্মের কাছে রিপোর্ট করব না। যদি আমরা আপনার গুরুত্ব রেটিংয়ের সাথে একমত না হই তবে থ্রেড বন্ধ করার পরিবর্তে আমরা কেন তা ব্যাখ্যা করব।

প্রোডাক্ট ব্যবহার করার সময় যে গ্রাহক একটি ভালনারেবিলিটি খুঁজে পান তিনি এই নীতি এবং এর সেফ হারবার দ্বারা আবৃত এবং একটি রিপোর্ট করা কখনোই Acceptable Use Policy-এর লঙ্ঘন নয়। এটি সাধারণ সাপোর্টের মাধ্যমে না করে সিকিউরিটি ঠিকানায় রিপোর্ট করুন, যাতে এটি কিউতে না থেকে সঠিক মানুষের কাছে পৌঁছায়। যদি সম্ভব হয় তবে আপনার নিজের এন্ড ইউজারদের প্রোডাকশন ডেটা দিয়ে পরীক্ষা করবেন না।

The security page names the things we have not built, on purpose, so that a reviewer or a researcher learns them from us rather than in diligence: the live volumes are not disk-encrypted, the audit log is append-only at the application layer and carries no hash chain or signature, there is no broad content security policy, and we hold no third party security certification today. Publishing our own gaps is the cheapest honesty in the business and it saves everybody a week.

Security reports and questions about this policy go to security@transglot.ai. Anything that is not a security issue, including abuse and copyright, goes to hello@transglot.ai. Privacy and data protection go to privacy@transglot.ai.