Forskning i god tro mødes aldrig med advokater.

Sikkerhedsforskning gør produktet sikrere, og vi ønsker, at rapporten når os, før den når en angriber. Hvis du følger denne politik, vil vi: anerkende din rapport hurtigt, samarbejde med dig om at forstå og validere den, holde dig orienteret, mens vi retter fejlen, kreditere dig, hvis du ønsker det, og ikke iværksætte eller støtte juridiske skridt mod dig for forskningen. Den sidste forpligtelse er kernen i dette dokument, og klausul 07 præciserer den.

Send en e-mail til security@transglot.ai. Medtag hvad du fandt, hvor du fandt det, trin til at reproducere det, hvad en angriber kunne gøre med det, og alt, der hjælper os med at bekræfte det: en anmodning og svar, en kort video eller et proof of concept. Fortæl os, om du ønsker at blive krediteret, og under hvilket navn. Skriv på engelsk, hvis du kan. Hvis du vil kryptere rapporten, så spørg i en første besked, og vi vil udveksle en nøgle. Vi offentliggør også en security.txt-fil med samme adresse, så en automatiseret scanner peger på en mailbox, som en person læser.

Vi anerkender en rapport inden for tre hverdage. Vi giver en indledende vurdering, herunder om vi kan reproducere den, og hvordan vi har klassificeret den, inden for ti hverdage. Vi fortæller dig, når en rettelse er udgivet, og vi vil normalt have udgivet en rettelse for et højt eller kritisk problem inden for halvfems dage efter validering, hurtigere hvis risikoen er aktiv. Hvis en rettelse tager længere tid, fortæller vi dig hvorfor i stedet for at tie stille. Vi vil informere dig, før vi offentliggør noget om problemet, og vi vil ikke offentliggøre dit navn uden at spørge først.

Giv os venligst halvfems dage fra din første rapport, før du offentliggør detaljer, og længere ved aftale, hvis rettelsen er genuint kompleks, eller hvis en rettelse kræver handling fra en kunde. Vi vil ikke bruge denne periode til at skjule problemet: vi holder dig opdateret, og hvis vi ikke kan rette det, fortæller vi dig det også, og vi vil ikke gøre indsigelse mod offentliggørelse, når perioden er udløbet. Hvis et problem bliver aktivt udnyttet, skal du straks informere os, og vi vil handle med den hastighed. Vi koordinerer gerne en fælles advisering og anmoder om en CVE, hvor det er relevant.

Produktionswebapplikationen og marketingsitet på vores egne domæner, den offentlige REST API, leveringsendepunktet, editoren i kontekst og dens indlejrede overflader, vores publicerede klientpakker, vores webhook-levering og signering, vores godkendelses- og single sign-on-flow samt vores offentlige infrastruktur, som den er tilgængelig fra internettet. Rapporter om designbeslutninger, vi har dokumenteret som bevidste afvejninger, såsom poolen til delt eksakt-match oversættelsesmemory eller fraværet af disk-niveau kryptering på live-volumener, er velkomne som argumenter, men er ikke sårbarheder: de er angivet på sikkerhedssiden, netop så en forsker ikke bruger en eftermiddag på at bevise noget, vi allerede har offentliggjort.

Alt, der ikke drives af os, herunder en kundes eget websted, en tredjepartsintegration og ethvert system, der nås gennem en connector. Denial of service, volumetrisk test eller ressourceudmattelsestest og alt, der forringer tjenesten for andre brugere. Social engineering, phishing eller fysiske forsøg mod vores personale, vores kontorer eller vores leverandører. Spam og rapporter genereret af en automatiseret scanner uden tilhørende analyse. Fund, der kun er en manglende best practice-header, en cookie-flag uden demonstreret effekt, et forældet bibliotek uden udnyttelig sti, en rate limit du fandt ved at overskride den, selvforvoldt cross-site scripting, en clickjacking-rapport på en side uden følsom handling, eller fraværet af en bred indholdssikkerhedspolitik, som vi allerede dokumenterer som en mangel. Sårbarheder, der kræver fysisk adgang til et offers ulåste enhed, eller som kræver en root-level kompromittering af offerets egen maskine.

Hvis du gør en oprigtig indsats for at overholde denne politik under din forskning, vil vi betragte din forskning som autoriseret, vi vil samarbejde med dig om at forstå og løse problemet hurtigt, og vi vil ikke anbefale eller iværksætte juridiske skridt mod dig, herunder under love om computermisbrug, anti-hacking, anti-omgåelse eller kontraktret, og herunder ethvert krav under Acceptable Use Policy eller Terms of Service, som din test ellers ville bryde. Hvis en tredjepart anlægger sag mod dig for forskning udført under denne politik, vil vi gøre det kendt, at dine aktiviteter var autoriserede. Denne sikre havn er begrænset til os: den kan og autoriserer ikke dig til at handle mod en tredjepart, en anden kunde eller nogen andres systemer.

Brug kun logins og konti, du ejer eller har eksplicit tilladelse til at teste, og opret dit eget gratis workspace i stedet for at probe andres. Få ikke adgang til, modificér, kopier, exfiltrer eller ødelæg data, der ikke er dine, og hvis du støder på kundedata ved et uheld, så stop, gem det ikke, og fortæl os straks, hvad du så, så vi kan vurdere eksponeringen. Forring ikke tilgængeligheden, og kør ikke load-, stress- eller denial of service-tests. Brug ikke et fund til at opnå mere adgang, end du behøver for at demonstrere det, og oprethold ikke persistens. Udøv ikke afpresning, og stil ikke offentliggørelse betinget af betaling. Offentliggør ikke, før klausul 04 tillader det. Overhold gældende lov og enhver eksportkontrol- eller sanktionsrestriktion, der gælder for dig.

Der er ingen betalt bug bounty i dag. Det, vi tilbyder, er et hurtigt, menneskeligt svar, kredit i en offentlig anerkendelse, hvis du ønsker det, en skriftlig reference for seriøse fund og den ovennævnte sikre havn. Hvis vi starter et betalt program, vil vi offentliggøre omfanget og intervallerne her, før vi modtager den første indsendelse.

Vi vil ikke bede dig om at underskrive en fortrolighedsaftale som betingelse for at modtage din rapport, og vi vil ikke bruge et indsendelsesskema som middel til at binde dig til tavshedspligt. Vi vil ikke true dig for en rapport, der viser sig at have lav sværhedsgrad eller være en duplikat. Vi vil ikke rapportere dig til din arbejdsgiver, dit universitet eller en platform. Hvis vi er uenige i din sværhedsgradsvurdering, vil vi forklare hvorfor frem for at lukke tråden.

En kunde, der finder en sårbarhed under brug af produktet, er dækket af denne politik og dens sikre havn, og rapportering heraf er aldrig et brud på Acceptable Use Policy. Rapporter det til sikkerhedsadressen i stedet for gennem almindelig support, så det når de rigtige personer uden at ligge i kø. Undgå at teste med produktionsdata, der tilhører dine egne slutbrugere, hvis det er muligt.

Sikkerhedssiden nævner de ting, vi bevidst ikke har bygget, så en reviewer eller forsker hører det fra os frem for under due diligence: live-volumenerne er ikke disk-krypterede, audit-loggen er append-only på applikationslaget og har ingen hash-kæde eller signatur, der er ingen bred indholdssikkerhedspolitik, og vi har i dag ingen tredjepartssikkerhedscertificering. At offentliggøre vores egne mangler er den billigste form for ærlighed i branchen, og det sparer alle for en uges arbejde.

Sikkerhedsrapporter og spørgsmål om denne politik sendes til security@transglot.ai. Alt, der ikke er et sikkerhedsproblem, herunder misbrug og ophavsret, sendes til hello@transglot.ai. Privatliv og databeskyttelse håndteres via privacy@transglot.ai.