Ikerketa ona fede onean ez da inoiz abokatuekin topatzen.

Segurtasun-ikerketak produktua seguruagoa egiten du, eta nahi dugu txostena erasotzailearengana iritsi aurretik gugana iristea. Politika hau jarraitzen baduzu, honako hauek egingo ditugu: zure txostena azkar onartuko dugu; harekin lan egingo dugu ulertzeko eta balioztatzeko; konpondu bitartean informatuta mantenduko zaitugu; kreditua emango dizugu nahi baduzu; eta ez dugu lege-ekintzarik abiatuko edo babestuko zure aurka ikerketagatik. Azken konpromiso hori da dokumentu honen muina, eta 07. klausulak terminoetan adierazten du.

Bidali mezu elektronikoa security@transglot.ai helbidera. Sartu zer aurkitu duzun, non aurkitu duzun, erreproduzitzeko urratsak, erasotzaile batek zer egin dezakeen harekin, eta guk berresten lagunduko diguten elementuak: eskaera eta erantzuna, bideo laburra, kontzeptu-proba. Esaguzu kreditua nahi duzun eta zein izenpean. Idatzi ingelesez ahal baduzu. Txostena enkriptatu nahi baduzu, eskatu lehen mezu batean eta gakoa trukatuko dugu. security.txt fitxategi bat ere argitaratzen dugu helbide berarekin, beraz, eskaneatzaile automatiko batek pertsona batek irakurtzen duen posta-kutxa seinalatzen du.

Txosten bat hiru lan-egunen barruan onartuko dugu. Hasierako ebaluazio bat emango dugu, erreproduzi dezakegun ala ez eta nola kalifikatu dugun barne, hamar lan-egunen barruan. Konponketa bat kaleratzen dugunean jakinaraziko dizugu, eta arazo larri edo kritiko baterako konponketa bat laurogeita hamar egunen barruan kaleratu ohi dugu, balioztatu ondoren, arriskua aktiboa bada azkarrago. Konponketa batek luzeago hartuko badu, zergatia azalduko dizugu isilik egon beharrean. Arazoari buruz ezer argitaratu aurretik jakinaraziko dizugu, eta ez dugu zure izena argitaratuko galdetu gabe.

Mesedez, eman iezaguzu laurogeita hamar egun zure lehen txostenetik xehetasunak argitaratu aurretik, eta luzatu adostasunez konponketa benetan konplexua bada edo konponketa batek bezeroaren ekintza behar badu. Ez dugu epe hori erabiliko arazoa estaltzeko: informatuta mantenduko zaitugu, eta konpondu ezin badugu, hori ere esango dizugu, eta ez dugu argitarapenari aurka egingo epea igaro ondoren. Arazo bat aktiboki ustiatzen ari bada, jakinarazi berehala eta abiadura horretan mugituko gara. Pozik gaude aholku bateratu bat koordinatzeko eta CVE bat eskatzeko, egokia denean.

Produkzio-web-aplikazioa eta marketin-gunea gure domeinuetan, REST API publikoa, entrega-puntua, testuinguruko editorea eta bere txertatze-gainazalak, argitaratutako bezero-paketeak, webhook-en entrega eta sinadura, autentifikazioa eta saio-hasiera bakarreko fluxuak, eta gure azpiegitura publikoa Internetera irisgarri denez. Dokumentatu dugun diseinu-erabaki bati buruzko txostenak, truke deliberatu gisa, hala nola itzulpen-memoriaren pool partekatua edo bolumen aktiboetan disko-mailako enkriptaziorik ez izatea, ongi etorriak dira argumentu gisa, baina ez dira ahultasunak: segurtasun-orrian adierazita daude zehazki ikertzaile batek ez dezan arratsalde bat eman jada argitaratzen dugun zerbait frogatzen.

Guk kudeatzen ez dugun edozer, bezero baten webgunea barne, hirugarrenen integrazioa eta konektore baten bidez iristen den sistema oroz gain. Zerbitzu-ukapena, bolumetrikoa edo baliabideen nekea probatzea, eta zerbitzua beste erabiltzaileentzat kaltetzen duen edozer. Ingeniaritza soziala, phishing-a edo gure langileei, bulegoei edo hornitzaileei egindako saiakera fisikoak. Spam-a, eta analisi bat erantsi gabe eskaneatzaile automatiko batek sortutako txostenak. Aurkikuntzak praktika onen goiburu falta bat besterik ez direnak, eragin demostraturik gabeko cookie-bandera bat, bide usterrigarririk gabeko liburutegi zaharkitu bat, muga gainditzean aurkitutako tasa-muga bat, autoinduzitutako cross-site scripting bat, ekintza sentikorrik gabeko orri batean clickjacking txosten bat, edo eduki-segurtasun politika zabalaren absentzia, jau hutsune gisa dokumentatzen duguna. Biktimaren desblokeatutako gailura sarbide fisikoa behar duten ahultasunak, edo biktimaren makina propioaren root-mailako konpromisoa behar dutenak.

Politika hau bete nahian ikerketan ona fedearekin jokatzen baduzu, zure ikerketa baimenduta dagoela kontsideratuko dugu, harekin lan egingo dugu arazoa azkar ulertzeko eta konpontzeko, eta ez dugu lege-ekintzarik gomendatuko edo jarraituko zure aurka, ordenagailuen erabilera okerra, hackeoaren aurkakoa, zirkunbentzioaren aurkakoa edo kontratu-zuzenbidea barne, eta Erabilera Onargarriaren Politikaren edo Zerbitzu-baldintzen peko edozein salaketa barne, zure probak bestela urratuko lukeena. Hirugarren batek ekintza bat hasten badu zuren aurka politika honen pean egindako ikerketagatik, jakinaraziko dugu zure jarduerak baimenduta zeudela. Segurtasun-esparru hau guregan mugatzen da: ezin zaitu baimendu hirugarren baten, beste bezero baten edo beste inoren sistemen aurka jarduteko.

Erabili soilik zuk jabetzen dituzun edo probatzeko berariazko baimena duzun saio-hasierak eta Kontuak, eta sortu zure lan-espazio doakoa norbaitenarena sondeatu beharrean. Ez sartu, aldatu, kopiatu, ateratu edo suntsitu zurea ez den datua, eta bezero-datuak ustekabean aurkitzen badituzu, gelditu, ez gorde, eta esaguzu berehala zer ikusi duzun esposizioa ebaluatu ahal izateko. Ez murriztu eskuragarritasuna eta ez egin karga, estres edo zerbitzu-ukapen probak. Ez erabili aurkikuntza bat demostratzeko behar duzuna baino sarbide gehiago lortzeko, eta ez mantendu iraunkortasuna. Ez egin extorsiorik, eta ez baldintzatu argitaratzea ordainketa baten pean. Ez argitaratu 04. klausulak baimendu aurretik. Beteki aplikagarriak diren legeak eta zuri dagozkion esportazio-kontrol edo zigor-murrizketak.

Gaur egun ez dago ordaindutako bug bounty programarik. Eskaintzen duguna erantzun azkar eta humanoa da, kreditua aitortza publiko batean nahi baduzu, idatzizko erreferentzia aurkikuntza serioetarako, eta aurreko segurtasun-esparrua. Ordaindutako programa bat hasten badugu, esparrua eta tarteak hemen argitaratuko ditugu lehenengo txostena jaso aurretik.

Ez dizugu eskatuko isilpekotasun-hitzaarmen bat sinatzeko zure txostena jasotzeko baldintza gisa, eta ez dugu txostenak bidaltzeko formularioa erabiliko isiltzera behartzeko. Ez dizugu mehatxurik egingo larritasun txikikoa edo bikoiztua dela suertatzen den txosten bategatik. Ez zaitugu salduko zure enpresari, unibertsitari edo plataformari. Zure larritasun-balorazioarekin ados ez bagaude, zergitia azalduko dugu hari ixtea baino lehen.

Produktua erabiltzean ahultasun bat aurkitzen duen bezeroa politika honen eta bere segurtasun-esparruaren babespean dago, eta horren berri ematea ez da inoiz Erabilera Onargarriaren Politikaren urraketa. Bidali txostena segurtasun-helbidera, euskarri arruntaren bidez baino, pertsona egokietara irits dadin ilaran itxaron gabe. Saiatu ez zure amaierako erabiltzaileen produkzio-datuekin probatzen, ahal baduzu.

Segurtasun-orriak adierazten ditu nahita eraiki ez ditugun gauzak, berrikusle edo ikertzaile batek guregandik jakin ditzan, due diligence prozesuan baino: bolumen aktiboak ez daude disko-mailan enkriptatuta, auditoretza-erregistroa aplikazio-geruzan soilik gehigarria da (append-only) eta ez du hash-kate edo sinadurarik, ez dago eduki-segurtasun politika zabala, eta gaur egun ez dugu hirugarrenen segurtasun-ziurtagiririk. Gure hutsuneak argitaratzea negozioan dagoen zintzotasun merkeena da, eta denoi aste bat aurrezten die.

Segurtasun-txostenak eta politika honi buruzko galderak security@transglot.ai helbidera bidali behar dira. Segurtasun-arazoak ez diren guztiak, jazarpena eta copyright-a barne, hello@transglot.ai helbidera joan behar dira. Pribatutasuna eta datuen babesa privacy@transglot.ai helbidera zuzendu behar dira.