Recerca de bona fe mai no es troba amb advocats.

La recerca de seguretat fa el producte més segur, i volem que l’informe ens arribi abans que a un atacant. Si seguiu aquesta política, farem el següent: reconèixer el vostre informe ràpidament, treballar amb vosaltres per entendre’l i validar-lo, mantenir-vos informats mentre el solucionem, donar-vos crèdit si voleu ser reconeguts i no emprendre ni donar suport a accions legals contra vosaltres per la recerca. Aquest últim compromís és l’objectiu principal d’aquest document, i la clàusula 07 l’estableix en termes concrets.

Envieu un correu electrònic a security@transglot.ai. Incloeu què heu trobat, on ho heu trobat, els passos per reproduir-ho, què podria fer un atacant amb això i qualsevol cosa que ens ajudi a confirmar-ho: una sol·licitud i resposta, un vídeo breu, una prova de concepte. Indiqueu-nos si voleu rebre crèdit i sota quin nom. Escriviu en anglès si podeu. Si voleu xifrar l’informe, demaneu-ho en un primer missatge i intercanviarem una clau. També publiquem un fitxer security.txt amb la mateixa adreça, de manera que un escàner automatitzat apunti a una bústia que llegeix una persona.

Reconeixem un informe en un termini de tres dies laborables. Fem una avaluació inicial, incloent-hi si podem reproduir-lo i com l’hem qualificat, en deu dies laborables. Us informem quan es publica una correcció i normalment n’hem publicat una per a problemes greus o crítics dins dels noranta dies posteriors a la validació, o abans si el risc està actiu. Si una correcció triga més temps, us explicarem per què en lloc de quedar-nos callats. Us avisarem abans de publicar res sobre el problema i no publicarem el vostre nom sense preguntar-vos.

Si us plau, espereu noranta dies des del vostre primer informe abans de publicar detalls, o més temps si acordem que la correcció és genuïnament complexa o requereix acció per part del client. No utilitzarem aquest període per amagar el problema: us mantindrem informats i, si no podem solucionar-lo, també us ho direm, i no ens oposarem a la publicació un cop hagi passat el període. Si un problema s’està explotant activament, informeu-nos immediatament i actuarem a aquesta velocitat. Estem disposats a coordinar un avís conjunt i a sol·licitar un CVE quan sigui apropiat.

L’aplicació web de producció i el lloc de màrqueting als nostres propis dominis, l’API REST pública, el punt final de lliurament, l’editor contextual i les seves superfícies d’incrustació, els paquets de client publicats, el lliurament i la signatura de webhooks, els fluxos d’autenticació i inici de sessió únic (SSO) i la nostra infraestructura pública tal com és accessible des d’Internet. Els informes sobre decisions de disseny que hem documentat com a compensacions deliberades, com ara la memòria de traducció de coincidència exacta compartida o l’absència de xifratge a nivell de disc als volums en directe, són benvingudes com a arguments però no es consideren vulnerabilitats: es declaren a la pàgina de seguretat precisament perquè un investigador no perdi una tarda demostrant alguna cosa que ja hem publicat.

Qualsevol cosa no operada per nosaltres, incloent-hi el lloc web propi d’un client, una integració de tercers i qualsevol sistema accessible mitjançant un connector. Denegació de servei, proves d’esgotament volumètric o de recursos i qualsevol cosa que degradi el servei per a altres usuaris. Enginyeria social, phishing o intents físics contra el nostre personal, les nostres oficines o els nostres proveïdors. Correu brossa i informes generats per un escàner automatitzat sense anàlisi adjunta. Troballes que només siguin una capçalera de millors pràctiques missing, una bandera de cookie sense impacte demostrat, una biblioteca obsoleta sense via d’explotació, un límit de freqüència que heu trobat superant-lo, una cross-site scripting autoinfligida, un informe de clickjacking en una pàgina sense accions sensibles o l’absència d’una política de seguretat de contingut àmplia, que ja documentem com a llacuna. Vulnerabilitats que requereixin accés físic al dispositiu desbloquejat d’una víctima o que requereixin un compromís a nivell root de la màquina de la víctima.

Si feu un esforç de bona fe per complir aquesta política durant la vostra recerca, considerarem la vostra recerca autoritzada, treballarem amb vosaltres per entendre i resoldre el problema ràpidament i no recomanarem ni emprendrem accions legals contra vosaltres, incloent-hi sota lleis d’ús indegut d’ordinadors, antihackeig, anticircumvenció o dret contractual, i incloent-hi qualsevol reclamació sota la Política d’ús acceptable o els Termes de servei que les vostres proves altrament infringirien. Si un tercer emprès una acció legal contra vosaltres per recerca duta a terme sota aquesta política, farem saber que les vostres activitats estaven autoritzades. Aquest port segur es limita a nosaltres: no pot ni autoritza actuar contra un tercer, un altre client o els sistemes de qualsevol altra persona.

Utilitzeu només inicis de sessió i comptes que siguin vostres o tingueu permís explícit per provar, i creeu el vostre propi espai de treball gratuït en lloc de sondejar el d’algú altre. No accediu, modifiqueu, copieu, extregueu ni destruïu dades que no siguin vostres i, si trobeu dades de clients per accident, atureu-vos, no les deseu i informeu-nos immediatament del que heu vist perquè puguem avaluar l’exposició. No degradeu la disponibilitat ni executeu proves de càrrega, estrès o denegació de servei. No utilitzeu una troballa per obtenir més accés del necessari per demostrar-la i no mantingueu persistència. No extorsioneu ni condicioneu la divulgació a un pagament. No publiqueu abans que ho permeti la clàusula 04. Compliu la legislació aplicable i qualsevol restricció de control d’exportacions o sancions que us afecti.

Actualment no hi ha cap programa de recompenses per errors pagat. El que oferim és una resposta humana i ràpida, crèdit en un reconeixement públic si ho desitgeu, una referència escrita per a troballes greus i el port segur esmentat anteriorment. Si iniciem un programa pagat, publicarem l’àmbit i els intervals aquí abans d’acceptar la primera submissió.

No us demanarem que signeu un acord de confidencialitat com a condició per rebre el vostre informe, ni utilitzarem un formulari d'enviament d'informes per obligar-vos al silenci. No us amenaçarem per un informe que resulti ser de baixa gravetat o duplicat. No us denunciarem al vostre empleador, universitat o plataforma. Si no estem d'acord amb la vostra qualificació de gravetat, explicarem per què en lloc de tancar el fil.

Un client que trobi una vulnerabilitat mentre utilitza el producte està cobert per aquesta política i pel seu port segur, i informar-ne mai no constitueix una violació de la Política d’ús acceptable. Informeu-ne a l’adreça de seguretat en lloc de fer-ho a través del suport habitual, perquè arribi a les persones adequades sense haver d’esperar en una cua. No feu proves amb dades de producció dels vostres usuaris finals si podeu evitar-ho.

La pàgina de seguretat enumera explícitament allò que no hem construït intencionadament, perquè un revisor o investigador ho sàpiga directament per nosaltres en lloc de descobrir-ho durant una diligència deguda: els volums en directe no estan xifrats al disc, el registre d’auditoria és només d’addició a la capa d’aplicació i no inclou cap cadena de hash ni signatura, no hi ha una política de seguretat de contingut àmplia i actualment no disposem de cap certificació de seguretat de tercers. Publicar les nostres pròpies llacunes és la forma més econòmica d’honestedat en el sector i ens estalvia a tots una setmana de feina.

Els informes de seguretat i les preguntes sobre aquesta política s’han d’enviar a security@transglot.ai. Tot allò que no sigui un problema de seguretat, incloent-hi abusos i drets d’autor, s’ha d’enviar a hello@transglot.ai. Les qüestions de privadesa i protecció de dades s’han d’enviar a privacy@transglot.ai.