सद्भावनापूर्ण शोध का सामना कभी वकीलों से नहीं होता।

Security research makes the product safer, and we want the report to reach us before it reaches an attacker. If you follow this policy, we will: acknowledge your report quickly, work with you to understand and validate it, keep you informed while we fix it, credit you if you want to be credited, and not pursue or support legal action against you for the research. That last commitment is the point of this document, and clause 07 states it in terms.

ईमेल करें security@transglot.ai। शामिल करें कि आपने क्या पाया, कहाँ पाया, इसे पुनः उत्पन्न करने के चरण, एक हमलावर इसके साथ क्या कर सकता है, और कुछ भी जो हमें इसे पुष्टि करने में मदद करता है: एक अनुरोध और प्रतिक्रिया, एक छोटा वीडियो, एक अवधारणा का प्रमाण (proof of concept)। बताएं कि क्या आप श्रेय चाहते हैं और किस नाम के तहत। यदि संभव हो तो अंग्रेजी में लिखें। यदि आप रिपोर्ट को एन्क्रिप्ट करना चाहते हैं, तो पहले संदेश में पूछें और हम एक कुंजी का आदान-प्रदान करेंगे। हम एक security.txt फ़ाइल भी प्रकाशित करते हैं जिसमें वही पता होता है, ताकि एक स्वचालित स्कैनर उस मेलबॉक्स की ओर इशारा करे जिसे एक व्यक्ति पढ़ता है।

हम तीन कार्य दिवसों के भीतर रिपोर्ट की पुष्टि करते हैं। हम दस कार्य दिवसों के भीतर एक प्रारंभिक मूल्यांकन देते हैं, जिसमें यह शामिल होता है कि क्या हम इसे पुनः उत्पन्न कर सकते हैं और हमने इसे कैसे रेट किया है। हम आपको बताते हैं जब कोई फ़िक्स जारी होता है और हम आम तौर पर इसे मान्य करने के नब्बे दिनों के भीतर उच्च या महत्वपूर्ण मुद्दे के लिए एक फ़िक्स जारी कर देंगे, जहाँ जोखिम सक्रिय है तो उससे भी तेज़। यदि कोई फ़िक्स लेने में अधिक समय ले रहा है, तो हम चुप रहने के बजाय आपको कारण बताएंगे। हम मुद्दे के बारे में कुछ भी प्रकाशित करने से पहले आपको बताएंगे, और हम आपकी अनुमति के बिना आपका नाम प्रकाशित नहीं करेंगे।

कृपया विवरण प्रकाशित करने से पहले अपनी पहली रिपोर्ट से नब्बे दिन दें, और यदि फ़िक्स वास्तव में जटिल है या यदि फ़िक्स के लिए ग्राहक को कार्रवाई करने की आवश्यकता है, तो सहमति से अधिक समय दें। हम उस अवधि का उपयोग मुद्दे को छिपाने के लिए नहीं करेंगे: हम आपको अपडेट रखेंगे, और यदि हम इसे ठीक नहीं कर पाते हैं तो हम आपको यह भी बताएंगे, और अवधि समाप्त होने के बाद हम प्रकाशन का विरोध नहीं करेंगे। यदि किसी मुद्दे का सक्रिय रूप से शोषण किया जा रहा है, तो हमें तुरंत बताएं और हम उसी गति से आगे बढ़ेंगे। हम संयुक्त सलाहकार का समन्वय करने और जहाँ उपयुक्त हो CVE का अनुरोध करने में प्रसन्न हैं।

हमारे अपने डोमेन पर उत्पादन वेब एप्लिकेशन और मार्केटिंग साइट, सार्वजनिक REST API, डिलीवरी एंडपॉइंट, इन-कॉन्टेक्स्ट एडिटर और इसके एम्बेड सर्फेस, हमारे प्रकाशित क्लाइंट पैकेज, हमारा वेबहुक डिलीवरी और साइनिंग, हमारा प्रमाणीकरण और सिंगल साइन-ऑन फ़्लो, और हमारा सार्वजनिक इंफ्रास्ट्रक्चर जैसा कि यह इंटरनेट से पहुँच योग्य है। किसी डिज़ाइन निर्णय के बारे में रिपोर्ट, जिसे हमने एक जानबूझकर किए गए ट्रेड-ऑफ के रूप में दस्तावेज़ किया है, जैसे कि साझा exact-match अनुवाद मेमोरी पूल या लाइव वॉल्यूम पर डिस्क-लेवल एन्क्रिप्शन की अनुपस्थिति, बहस के रूप में स्वागत है लेकिन कमज़ोरियां नहीं हैं: वे सुरक्षा पेज पर स्पष्ट रूप से इसलिए बताई गई हैं ताकि शोधकर्ता किसी ऐसी चीज़ को साबित करने में दोपहर न बिताए जो हम पहले से ही प्रकाशित कर चुके हैं।

Anything not operated by us, including a customer’s own website, a third party integration and any system reached through a connector. Denial of service, volumetric or resource exhaustion testing, and anything that degrades the service for other users. Social engineering, phishing, or physical attempts against our staff, our offices or our suppliers. Spam, and reports generated by an automated scanner with no analysis attached. Findings that are only a missing best-practice header, a cookie flag with no demonstrated impact, an outdated library with no exploitable path, a rate limit you found by exceeding it, a self-inflicted cross-site scripting, a clickjacking report on a page with no sensitive action, or the absence of a broad content security policy, which we already document as a gap. Vulnerabilities requiring physical access to a victim’s unlocked device, or requiring a root-level compromise of the victim’s own machine.

यदि आप अपने शोध के दौरान इस नीति का पालन करने का अच्छे विश्वास वाला प्रयास करते हैं, तो हम आपके शोध को अधिकृत मानेंगे, हम मुद्दे को जल्दी समझने और हल करने के लिए आपके साथ काम करेंगे, और हम कंप्यूटर दुरुपयोग, एंटी-हैकिंग, एंटी-परिहार या अनुबंध कानून के तहत, और स्वीकार्य उपयोग नीति या सेवा की शर्तों के तहत किसी भी दावे सहित, आपके खिलाफ कानूनी कार्रवाई की अनुशंसा नहीं करेंगे या उसका पीछा नहीं करेंगे, भले ही आपका परीक्षण अन्यथा उसका उल्लंघन करता हो। यदि कोई तीसरा पक्ष इस नीति के तहत किए गए शोध के लिए आपके खिलाफ कार्रवाई लाता है, तो हम यह स्पष्ट करेंगे कि आपकी गतिविधियां अधिकृत थीं। यह सुरक्षित आश्रय केवल हमारे लिए सीमित है: यह आपको तीसरे पक्ष, किसी अन्य ग्राहक, या किसी और की प्रणालियों के खिलाफ कार्रवाई करने के लिए अधिकृत नहीं करता है और न ही करता है।

केवल उन लॉगिन और खातों का उपयोग करें जो आपके स्वामित्व में हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति है, और किसी और के वर्कस्पेस में झांकने के बजाय अपना खुद का मुफ्त वर्कस्पेस बनाएं। उस डेटा को एक्सेस, संशोधित, कॉपी, बाहर निकालें या नष्ट न करें जो आपका नहीं है, और यदि आप गलती से ग्राहक डेटा का सामना करते हैं, तो रुकें, इसे सहेजें नहीं, और हमें तुरंत बताएं कि आपने क्या देखा ताकि हम एक्सपोज़र का आकलन कर सकें। उपलब्धता को कमजोर न करें या लोड, स्ट्रेस या डेनियल ऑफ सर्विस टेस्ट न चलाएं। किसी खोज का उपयोग इसे प्रदर्शित करने के लिए आवश्यक से अधिक एक्सेस प्राप्त करने के लिए न करें, और persistency_ न बनाए रखें। ब्लैकमेल न करें, और प्रकटीकरण को भुगतान की शर्त न बनाएं। खंड 04 द्वारा अनुमति दिए जाने से पहले प्रकाशित न करें। लागू कानून और किसी भी निर्यात नियंत्रण या प्रतिबंध प्रतिबंध का पालन करें जो आप पर लागू होता है।

फ़िलहाल कोई भुगतान वाली बग बाउंटी नहीं है। हम जो पेश करते हैं वह है त्वरित, मानवीय प्रतिक्रिया, यदि आप चाहें तो सार्वजनिक स्वीकृति में श्रेय, गंभीर खोजों के लिए एक लिखित संदर्भ, और ऊपर बताया गया सुरक्षित आश्रय। यदि हम कोई भुगतान वाली कार्यक्रम शुरू करते हैं, तो पहला सबमिशन लेने से पहले हम यहाँ उसका दायरा और सीमाएँ प्रकाशित करेंगे।

हम आपसे यह शर्त नहीं लगाएंगे कि रिपोर्ट प्राप्त करने के लिए आपको गोपनीयता समझौते (NDA) पर हस्ताक्षित करना होगा, और हम रिपोर्ट सबमिशन फ़ॉर्म का उपयोग आपको मौन रहने के लिए बाध्य करने के तरीके के रूप में नहीं करेंगे। हम कम गंभीरता या डुप्लिकेट रिपोर्ट के लिए आपको धमकी नहीं देंगे। हम आपके नियोक्ता, विश्वविद्यालय या प्लेटफ़ॉर्म को आपकी शिकायत नहीं करेंगे। यदि हम आपकी गंभीरता रेटिंग से असहमत हैं, तो थ्रेड बंद करने के बजाय हम कारण बताएंगे।

उत्पाद का उपयोग करते समय कोई कमज़ोरी खोजने वाले ग्राहक इस नीति और इसके सुरक्षित आश्रय (safe harbour) द्वारा कवर किए जाते हैं, और इसे रिपोर्ट करना स्वीकार्य उपयोग नीति का उल्लंघन कभी नहीं है। इसे सामान्य सहायता के बजाय सुरक्षा पते पर रिपोर्ट करें, ताकि यह बिना किसी कतार में रुके सीधे सही लोगों तक पहुंचे। यदि संभव हो, तो अपने अंतिम उपयोगकर्ताओं के उत्पादन डेटा के साथ परीक्षण न करें।

सुरक्षा पेज उन चीज़ों का नाम लेता है जिन्हें हमने जानबूझकर नहीं बनाया है, ताकि समीक्षक या शोधकर्ता उन्हें हमसे सीखें, न कि_due diligence_ में: लाइव वॉल्यूम डिस्क-एन्क्रिप्टेड नहीं हैं, ऑडिट लॉग एप्लिकेशन लेयर पर केवल-अपेंड (append-only) है और इसमें कोई हैश चेन या सिग्नेचर नहीं है, कोई व्यापक कंटेंट सिक्योरिटी पॉलिसी नहीं है, और आज हमारे पास कोई तीसरे पक्ष की सुरक्षा प्रमाणन नहीं है। अपने अंतरालों को स्वयं प्रकाशित करना व्यवसाय में सबसे सस्ती ईमानदारी है और यह सभी का एक सप्ताह बचाता है।

सुरक्षा रिपोर्ट और इस नीति के बारे में प्रश्न security@transglot.ai पर जाएं। दुर्व्यवहार और कॉपीराइट सहित कोई भी चीज़ जो सुरक्षा मुद्दा नहीं है, वह hello@transglot.ai पर जाए। गोपनीयता और डेटा सुरक्षा privacy@transglot.ai पर जाती है।