Riset itikad baik tidak pernah dihadapi dengan tuntutan hukum.

Riset keamanan membuat produk lebih aman, dan kami ingin laporan tersebut sampai kepada kami sebelum jatuh ke tangan penyerang. Jika Anda mengikuti kebijakan ini, kami akan: mengakui laporan Anda dengan cepat, bekerja sama dengan Anda untuk memahami dan memvalidasinya, memberi tahu Anda perkembangan saat kami memperbaikinya, memberikan kredit jika Anda menginginkannya, dan tidak akan menempuh atau mendukung tindakan hukum terhadap Anda atas riset tersebut. Komitmen terakhir itulah inti dari dokumen ini, dan Klausul 07 menjelaskannya secara rinci.

Kirim email ke security@transglot.ai. Sertakan apa yang Anda temukan, di mana menemukannya, langkah-langkah untuk mereproduksinya, apa yang bisa dilakukan penyerang dengan temuan tersebut, serta apa pun yang membantu kami mengonfirmasinya: permintaan dan respons, video singkat, atau bukti konsep. Beritahu kami jika Anda ingin diberikan kredit dan dengan nama apa. Tulis dalam bahasa Inggris jika memungkinkan. Jika Anda ingin mengenkripsi laporan, minta dalam pesan pertama dan kami akan bertukar kunci. Kami juga menerbitkan file security.txt dengan alamat yang sama, sehingga pemindai otomatis akan mengarah ke kotak surat yang dibaca oleh manusia.

Kami mengakui laporan dalam waktu tiga hari kerja. Kami memberikan penilaian awal, termasuk apakah kami dapat mereproduksi temuan tersebut dan bagaimana kami menilainya, dalam waktu sepuluh hari kerja. Kami akan memberi tahu Anda ketika perbaikan dirilis, dan biasanya kami telah merilis perbaikan untuk isu berisiko tinggi atau kritis dalam waktu sembilan puluh hari setelah validasi, atau lebih cepat jika risikonya aktif. Jika perbaikan membutuhkan waktu lebih lama, kami akan menjelaskan alasannya daripada diam saja. Kami akan memberi tahu Anda sebelum memublikasikan apa pun tentang isu tersebut, dan kami tidak akan memublikasikan nama Anda tanpa izin.

Mohon beri kami waktu sembilan puluh hari sejak laporan pertama Anda sebelum memublikasikan detailnya, dan lebih lama jika disepakati apabila perbaikannya benar-benar kompleks atau memerlukan tindakan dari pelanggan. Kami tidak akan menggunakan periode tersebut untuk menutup-nutupi isu: kami akan terus memberi Anda pembaruan, dan jika kami tidak dapat memperbaikinya, kami akan memberitahu Anda juga, serta kami tidak akan keberatan dengan publikasi setelah periode tersebut berakhir. Jika isu sedang dieksploitasi secara aktif, beri tahu kami segera dan kami akan bergerak dengan kecepatan tersebut. Kami senang berkoordinasi untuk advisori bersama dan meminta CVE jika sesuai.

Aplikasi web produksi dan situs pemasaran di domain kami sendiri, API REST publik, endpoint pengiriman, editor dalam konteks dan permukaan embed-nya, paket klien yang kami publikasikan, pengiriman dan penandatanganan webhook kami, alur autentikasi dan single sign-on kami, serta infrastruktur publik kami sebagaimana dapat diakses dari internet. Laporan tentang keputusan desain yang telah kami dokumentasikan sebagai pertukaran yang disengaja, seperti pool memori terjemahan exact-match bersama atau tidak adanya enkripsi tingkat disk pada volume live, diterima sebagai argumen tetapi bukan merupakan kerentanan: hal-hal tersebut stated di halaman keamanan justru agar peneliti tidak menghabiskan sore hari membuktikan sesuatu yang sudah kami publikasikan.

Apa pun yang tidak dioperasikan oleh kami, termasuk situs web pelanggan sendiri, integrasi pihak ketiga, dan sistem apa pun yang diakses melalui konektor. Penolakan layanan, pengujian kelelahan volumetrik atau sumber daya, dan apa pun yang menurunkan layanan bagi pengguna lain. Rekayasa sosial, phishing, atau upaya fisik terhadap staf, kantor, atau pemasok kami. Spam, dan laporan yang dihasilkan oleh pemindai otomatis tanpa analisis terkait. Temuan yang hanya berupa header best-practice yang hilang, flag cookie tanpa dampak yang terbukti, pustaka usang tanpa jalur eksploitasi, batas laju yang Anda temukan dengan melebihinya, cross-site scripting yang disebabkan sendiri, laporan clickjacking pada halaman tanpa tindakan sensitif, atau tidak adanya kebijakan keamanan konten yang luas, yang sudah kami dokumentasikan sebagai celah. Kerentanan yang memerlukan akses fisik ke perangkat korban yang tidak terkunci, atau memerlukan kompromi tingkat root pada mesin korban sendiri.

Jika Anda berupaya dengan itikad baik untuk mematuhi kebijakan ini selama riset Anda, kami akan menganggap riset Anda sah, kami akan bekerja sama dengan Anda untuk memahami dan menyelesaikan isu tersebut dengan cepat, dan kami tidak akan merekomendasikan atau menempuh tindakan hukum terhadap Anda, termasuk di bawah undang-undang penyalahgunaan komputer, anti-peretasan, anti-penghindaran, atau hukum kontrak, termasuk klaim apa pun berdasarkan Kebijakan Penggunaan yang Dapat Diterima atau Ketentuan Layanan yang mungkin dilanggar oleh pengujian Anda. Jika pihak ketiga mengajukan gugatan terhadap Anda atas riset yang dilakukan berdasarkan kebijakan ini, kami akan menyatakan bahwa aktivitas Anda telah diizinkan. Perlindungan aman ini terbatas pada kami: hal ini tidak dapat dan tidak mengizinkan Anda bertindak terhadap pihak ketiga, pelanggan lain, atau sistem siapa pun.

Gunakan hanya login dan Akun yang Anda miliki atau memiliki izin eksplisit untuk diuji, dan buat ruang kerja gratis Anda sendiri daripada menyelidiki milik orang lain. Jangan mengakses, memodifikasi, menyalin, mengekstrak, atau menghancurkan data yang bukan milik Anda, dan jika Anda secara tidak sengaja menemukan data pelanggan, hentikan, jangan simpan, dan segera beri tahu kami apa yang Anda lihat agar kami dapat menilai paparan. Jangan mengurangi ketersediaan atau menjalankan pengujian beban, stres, atau penolakan layanan. Jangan gunakan temuan untuk mendapatkan akses lebih dari yang diperlukan untuk mendemonstrasikannya, dan jangan mempertahankan persistensi. Jangan melakukan pemerasan, dan jangan mengkondisikan pengungkapan pada pembayaran. Jangan memublikasikan sebelum Klausul 04 mengizinkannya. Patuhi hukum yang berlaku dan setiap pembatasan kontrol ekspor atau sanksi yang berlaku bagi Anda.

Saat ini tidak ada program bug bounty berbayar. Yang kami tawarkan adalah respons cepat dan manusiawi, kredit dalam pengakuan publik jika Anda menginginkannya, referensi tertulis untuk temuan serius, dan perlindungan aman di atas. Jika kami memulai program berbayar, kami akan memublikasikan cakupan dan kisaran hadiah di sini sebelum menerima submission pertama.

Kami tidak akan meminta Anda menandatangani perjanjian kerahasiaan sebagai syarat untuk menerima laporan Anda, dan kami tidak akan menggunakan formulir pengiriman laporan sebagai cara untuk mengikat Anda pada keheningan. Kami tidak akan mengancam Anda untuk laporan yang ternyata memiliki tingkat keparahan rendah atau duplikat. Kami tidak akan melaporkan Anda kepada pemberi kerja, universitas, atau platform Anda. Jika kami tidak setuju dengan penilaian tingkat keparahan Anda, kami akan menjelaskan alasannya daripada menutup utas diskusi.

Pelanggan yang menemukan kerentanan saat menggunakan produk dilindungi oleh kebijakan ini dan perlindungan aman (safe harbour) kami, serta melaporkannya tidak akan pernah dianggap sebagai pelanggaran Kebijakan Penggunaan yang Dapat Diterima. Laporkan ke alamat keamanan, bukan melalui dukungan biasa, agar langsung diterima oleh pihak yang tepat tanpa harus menunggu dalam antrean. Hindari pengujian menggunakan data produksi milik pengguna akhir Anda sendiri jika memungkinkan.

Halaman keamanan mencantumkan hal-hal yang sengaja belum kami bangun, sehingga peninjau atau peneliti mengetahuinya langsung dari kami daripada menemukannya saat due diligence: volume live tidak dienkripsi pada tingkat disk, log audit bersifat append-only di lapisan aplikasi dan tidak memiliki rantai hash atau tanda tangan, tidak ada kebijakan keamanan konten yang luas, dan saat ini kami tidak memegang sertifikasi keamanan pihak ketiga. Memublikasikan celah kami sendiri adalah bentuk kejujuran termurah dalam bisnis ini dan menghemat waktu semua orang selama seminggu.

Laporan keamanan dan pertanyaan tentang kebijakan ini kirimkan ke security@transglot.ai. Apa pun yang bukan masalah keamanan, termasuk penyalahgunaan dan hak cipta, kirimkan ke hello@transglot.ai. Masalah privasi dan perlindungan data kirimkan ke privacy@transglot.ai.