Bonfida esplorado neniam renkontiĝas kun advokatoj.

Sekurecesplorado faras la produkton pli sekura, kaj ni volas, ke la raporto atingu nin antaŭ ol ĝi atingas atakanton. Se vi sekvas ĉi tiun politikon, ni: rapide agnoskos vian raporton, kunlaboros kun vi por kompreni kaj validigi ĝin, tenos vin informita dum ni riparas ĝin, kreditos vin se vi volas esti kreditita, kaj ne persekutos aŭ subtenos juran agon kontraŭ vi pro la esplorado. Tiu lasta engaĝiĝo estas la celo de ĉi tiu dokumento, kaj paragrafo 07 deklaras ĝin laŭtermine.

Retpoŝtu al security@transglot.ai. Inkluzu kion vi trovis, kie vi trovis ĝin, la paŝojn por reprodukti ĝin, kion atakanto povus fari per ĝi, kaj ion ajn, kio helpas nin konfirmi ĝin: peton kaj respondon, mallongan videon, pruvon de koncepto. Informu nin, se vi volas esti kreditita kaj sub kia nomo. Skribu angle, se eblas. Se vi volas ĉifri la raporton, demandu en unua mesaĝo kaj ni interŝanĝos ŝlosilon. Ni ankaŭ publikigas dosieron security.txt kun la sama adreso, do aŭtomatigita skanilo indikas al retpoŝtkesto, kiun homo legas.

Ni konfirmas raporton ene de tri labortagoj. Ni donas komenca takso, inkluzive ĉu ni povas reprodukti ĝin kaj kiel ni taksis ĝin, ene de dek labortagoj. Ni informas vin kiam riparo estas publikigita, kaj kutime ni havos riparitan altan aŭ kritikan problemon ene de naŭdek tagoj post validigo, pli rapide se la risko estas aktiva. Se riparo daŭros pli longe, ni diros al vi kial anstataŭ silenti. Ni informos vin antaŭ ol ni publikigos ion pri la problemo, kaj ni ne publikigos vian nomon sen peti permeson.

Bonvolu doni al ni naŭdek tagojn de via unua raporto antaŭ publikigi detalojn, kaj pli longe laŭ interkonsento se la riparo estas vere kompleksa aŭ se riparo postulas agon de kliento. Ni ne uzos tiun periodon por kaŝi la problemon: ni tenos vin informita, kaj se ni ne povas ripari ĝin, ni ankaŭ diros al vi tion, kaj ni ne obĵetos al publikigo post kiam la periodo pasis. Se problemo estas aktive ekspluatata, informu nin tuj kaj ni agos laŭ tiu rapideco anstataŭe. Ni volonte kunordigos komunan konsilon kaj petos CVE kie tio taŭgas.

La produktada reta aplikaĵo kaj la merkatiga retejo sur niaj propraj domajnoj, la publika REST API, la liverpunkto, la en-konteksta redaktilo kaj ĝiaj enkorpigitaj surfacoj, niaj publikigitaj klientaj pakaĵoj, niaj webhook-liverado kaj subskribado, niaj aŭtentikigo kaj ununura ensaluto fluoj, kaj nia publika infrastrukturo kiel ĝi estas atingebla de la interreto. Raportoj pri dezajna decido, kiun ni dokumentis kiel intenca kompromiso, kiel la komuna preciza-matĉa tradukmemora baseno aŭ la manko de diska nivela ĉifrado sur vivaj volumoj, estas bonvenaj kiel argumentoj sed ne estas vundeblecoj: ili estas klarigitaj sur la sekurecpaĝo precize por ke esploristo ne pasigu posttagmezon pruvante ion, kion ni jam publikigas.

Io ajn ne funkciigata de ni, inkluzive la propran retejon de kliento, triapartan integriĝon kaj ajnan sistemon atingitan tra konektilo. Servonegado, volumenaj aŭ resurs-elĉerpiĝaj testoj, kaj io ajn, kiu malbonigas la servon por aliaj uzantoj. Socia inĝenierado, fiŝhoko, aŭ fizikaj provoj kontraŭ nia personaro, niaj oficejoj aŭ niaj provizantoj. Spam, kaj raportoj generitaj de aŭtomata skanilo sen aldona analizo. Trovaĵoj, kiuj estas nur mankanta plejbonpraktika kaplinio, kuketa flago sen demonstrita efiko, malnova biblioteko sen ekspluatebla vojo, limigo de ofteco, kiun vi trovis transpasante ĝin, mem-inflictita transreteja skriptado, klikrabata raporto sur paĝo sen sentema ago, aŭ la manko de larĝa enhava sekurecpolitiko, kiun ni jam dokumentas kiel mankon. Vundeblecoj postulante fizikan aliron al malŝlosita aparato de viktimo, aŭ postulante radikan nivelan kompromison de la propra maŝino de la viktimo.

Se vi faras bonfidan penon konformiĝi al ĉi tiu politiko dum via esplorado, ni konsideros vian esploradon rajtigita, ni laboros kun vi por kompreni kaj solvi la problemon rapide, kaj ni ne rekomendos aŭ entreprenos jurajn agojn kontraŭ vi, inkluzive laŭ komputila misuzo, kontraŭ-hakado, kontraŭ-ĉirkaŭiro aŭ kontrakta juro, kaj inkluzive ajnan aserton laŭ la Akceptebla Uzopolitiko aŭ la Kondiĉoj de Servo ke via testado alie rompus. Se tria parto entreprenas agon kontraŭ vi por esplorado farita laŭ ĉi tiu politiko, ni sciigos, ke viaj agadoj estis rajtigitaj. Ĉi tiu sekura haveno limiĝas al ni: ĝi ne povas kaj ne rajtigas vin agi kontraŭ tria parto, alia kliento, aŭ iu ajn alia sistemo.

Uzu nur ensalutojn kaj Kontojn, kiujn vi posedas aŭ havas eksplicitan permeson testi, kaj kredu vian propran senpagan spacon anstataŭ esplori ies alian. Ne aliru, modifu, kopiu, elŝutu aŭ detruu datumojn, kiuj ne estas viaj, kaj se vi hazarde renkontas klientajn datumojn, haltu, ne konservu ilin, kaj tuj informu nin pri kion vi vidis, por ke ni povu taksi eksponon. Ne malbonigu disponeblecon aŭ faru ŝarĝon, streson aŭ servonegadajn testojn. Ne uzu trovaĵon por akiri pli da aliro ol vi bezonas por demonstri ĝin, kaj ne tenu persiston. Ne ĉantaĝu, kaj ne kondiĉigu malkaŝadon per pago. Ne publikigu antaŭ ol klaŭzo 04 permesas. Konformiĝu al aplikebla juro kaj al iu ajn eksporta kontrolo aŭ sankcia restrikto, kiu aplikas al vi.

Hodiaŭ ne ekzistas pagata bug-bounty-programo. Kion ni ofertas estas rapida, homa respondo, kredito en publika agnosko se vi volas ĝin, skriba referenco por seriozaj trovaĵoj, kaj la supra sekura haveno. Se ni komencos pagatan programon, ni publikigos la amplekson kaj la gamojn ĉi tie antaŭ ol ni akceptos la unuan submeton.

Ni ne petos, ke vi subskribu konfidencan interkonsenton kiel kondiĉo por ricevi vian raporton, kaj ni ne uzos formularon por submeti raportojn kiel manieron devigi vin al silento. Ni ne minacos vin pro raporto, kiu montriĝas malalta severeco aŭ duplikato. Ni ne raportos vin al via dunganto, via universitato aŭ platformo. Se ni malkonsentas kun via takso de severeco, ni klarigos kial anstataŭ fermi la diskuton.

Kliento, kiu trovas malfortaĵon dum uzado de la produkto, estas kovrita de ĉi tiu politiko kaj de ĝia sekura haveno, kaj raporti unu neniam estas malobservo de la Akceptebla Uzopolitiko. Raportu ĝin al la sekurecadreso anstataŭ tra ordinara subteno, por ke ĝi atingu la ĝustajn homojn sen sidi en atendovico. Evitu testadi per produktadaj datumoj apartenantaj al viaj propraj finuzantoj, se eblas.

La sekurecpaĝo nomas la aferojn, kiujn ni intence ne konstruis, por ke reviziinto aŭ esploristo lernu ilin de ni anstataŭ dum diligenteco: la vivaj volumenoj ne estas disk-ĉifritaj, la kontroloprotokolo estas nur-aldonema ĉe la aplika tavolo kaj ne havas haŝĉenon aŭ subskribon, ne ekzistas larĝa enhava sekurecpolitiko, kaj hodiaŭ ni ne tenas iun triapartan sekurecan certifikon. Publikigi niajn proprajn breĉojn estas la plej malmultekosta honesteco en la komerco kaj ŝparas al ĉiuj semajnon.

Sekurecaj raportoj kaj demandoj pri ĉi tiu politiko iru al security@transglot.ai. Ĉio, kio ne estas sekureca problemo, inkluzive de misuzo kaj kopirajto, iru al hello@transglot.ai. Privateco kaj datuma protekto iru al privacy@transglot.ai.