Ricerca in buona fede non viene mai accolta dagli avvocati.

La ricerca sulla sicurezza rende il prodotto più sicuro e vogliamo che la segnalazione ci raggiunga prima che arrivi a un attaccante. Se segui questa politica, noi: riconosceremo rapidamente la tua segnalazione, collaboreremo con te per comprenderla e convalidarla, ti terremo aggiornato mentre risolviamo il problema, ti accrediteremo se lo desideri e non intraprenderemo né supporteremo azioni legali contro di te per la ricerca effettuata. Quest'ultimo impegno è il punto centrale di questo documento e la clausola 07 lo definisce nei dettagli.

Invia un'email a security@transglot.ai. Includi ciò che hai trovato, dove lo hai trovato, i passaggi per riprodurlo, cosa potrebbe fare un attaccante sfruttandolo e qualsiasi elemento utile per confermarlo: una richiesta e risposta, un breve video, una prova di concetto. Indicaci se desideri essere accreditato e sotto quale nome. Scrivi in inglese, se possibile. Se desideri crittografare la segnalazione, richiedilo nel primo messaggio e scambieremo una chiave. Pubblichiamo anche un file security.txt con lo stesso indirizzo, così che uno scanner automatico indirizzi verso una casella di posta letta da una persona.

Riconosciamo una segnalazione entro tre giorni lavorativi. Forniamo una valutazione iniziale, inclusa la possibilità di riprodurla e la nostra classificazione della gravità, entro dieci giorni lavorativi. Ti informiamo quando viene rilasciata una correzione e, normalmente, avremo rilasciato una soluzione per un problema ad alta o critica gravità entro novanta giorni dalla convalida, più rapidamente se il rischio è attivo. Se una correzione richiede più tempo, ti spiegheremo il motivo invece di restare in silenzio. Ti informeremo prima di pubblicare qualsiasi dettaglio riguardante il problema e non pubblicheremo il tuo nome senza chiedertelo.

Ti preghiamo di concederci novanta giorni dalla tua prima segnalazione prima di pubblicare i dettagli e, se necessario, un periodo più lungo concordato insieme qualora la correzione sia genuinamente complessa o richieda un'azione da parte del cliente. Non useremo tale periodo per insabbiare il problema: ti terremo aggiornato e, se non riuscissimo a risolverlo, te lo comunicheremo comunque; non ci opporremo alla pubblicazione una volta scaduto il termine. Se un problema viene sfruttato attivamente, informaci immediatamente e agiremo con la stessa velocità. Siamo disponibili a coordinare un avviso congiunto e a richiedere un CVE ove appropriato.

L'applicazione web di produzione e il sito marketing sui nostri domini, l'API REST pubblica, l'endpoint di consegna, l'editor contestuale e le sue superfici di incorporamento, i nostri pacchetti client pubblicati, la consegna e la firma dei webhook, i flussi di autenticazione e single sign-on e la nostra infrastruttura pubblica accessibile da Internet. Le segnalazioni relative a decisioni progettuali documentate come compromessi deliberati, come il pool condiviso di memoria di traduzione con corrispondenza esatta o l'assenza di crittografia a livello di disco sui volumi attivi, sono benvenute come argomenti di discussione ma non costituiscono vulnerabilità: sono indicate nella pagina sulla sicurezza proprio per evitare che un ricercatore perda un pomeriggio a dimostrare qualcosa che abbiamo già pubblicato.

Qualsiasi sistema non gestito da noi, inclusi i siti web dei clienti, integrazioni di terze parti e sistemi raggiungibili tramite connettori. Test di denial of service, esaurimento volumetrico o delle risorse e qualsiasi attività che degradi il servizio per altri utenti. Ingegneria sociale, phishing o tentativi fisici contro il nostro personale, i nostri uffici o i nostri fornitori. Spam e segnalazioni generate da scanner automatici senza analisi allegata. Risultati relativi esclusivamente a header mancanti secondo le best practice, flag dei cookie senza impatto dimostrato, librerie obsolete senza percorsi di sfruttamento, limiti di velocità rilevati superandoli, cross-site scripting autoinflitto, report di clickjacking su pagine senza azioni sensibili o l'assenza di un'ampia Content Security Policy, già documentata come lacuna. Vulnerabilità che richiedono accesso fisico al dispositivo sbloccato della vittima o un compromesso a livello root della macchina della vittima.

Se compi uno sforzo in buona fede per conformarti a questa politica durante la tua ricerca, considereremo la tua ricerca autorizzata, collaboreremo con te per comprendere e risolvere rapidamente il problema e non raccomanderemo né intraprenderemo azioni legali contro di te, incluse quelle basate su leggi contro l'uso improprio dei computer, l'hacking, l'elusione delle misure di sicurezza o il diritto contrattuale, nonché eventuali reclami ai sensi della Politica di utilizzo accettabile o dei Termini di servizio che i tuoi test potrebbero altrimenti violare. Se una terza parte intentasse un'azione legale contro di te per ricerche condotte nell'ambito di questa politica, dichiareremo che le tue attività erano autorizzate. Questo porto sicuro è limitato a noi: non può e non autorizza ad agire contro terze parti, altri clienti o sistemi altrui.

Utilizza solo credenziali e Account di tua proprietà o per i quali hai ottenuto esplicita autorizzazione al test, e crea il tuo spazio di lavoro gratuito invece di sondare quello di altri. Non accedere, modificare, copiare, esfiltrare o distruggere dati non di tua proprietà e, se incontri accidentalmente dati di clienti, interrompi immediatamente, non salvarli e comunicaci subito ciò che hai visto affinché possiamo valutare l’esposizione. Non degradare la disponibilità né eseguire test di carico, stress o denial of service. Non utilizzare una vulnerabilità per ottenere più accesso di quanto necessario per dimostrarla e non mantenere persistenza. Non praticare estorsione e non condizionare la divulgazione a un pagamento. Non pubblicare prima che la clausola 04 lo consenta. Rispetta la legge applicabile e qualsiasi restrizione sul controllo delle esportazioni o sulle sanzioni che ti riguarda.

Al momento non esiste un programma di bug bounty retribuito. Offriamo invece una risposta rapida e umana, l'accreditamento in un riconoscimento pubblico se lo desideri, una referenza scritta per scoperte significative e il porto sicuro sopra descritto. Se avviassimo un programma retribuito, pubblicheremmo qui l'ambito di applicazione e gli intervalli di premio prima di accettare la prima segnalazione.

Non ti chiederemo di firmare un accordo di riservatezza come condizione per ricevere la tua segnalazione e non utilizzeremo un modulo di invio delle segnalazioni per vincolarti al silenzio. Non ti minacceremo per una segnalazione che si rivela di bassa gravità o duplicata. Non segnaleremo il tuo caso al tuo datore di lavoro, alla tua università o a una piattaforma. Se non siamo d'accordo con la tua valutazione della gravità, spiegheremo il motivo invece di chiudere la discussione.

Un cliente che individua una vulnerabilità durante l'utilizzo del prodotto è coperto da questa politica e dal suo porto sicuro; segnalarla non costituisce mai una violazione della Politica di utilizzo accettabile. Segnala la vulnerabilità all'indirizzo di sicurezza anziché tramite il supporto ordinario, in modo che raggiunga le persone giuste senza rimanere in coda. Evita di eseguire test con dati di produzione appartenenti ai tuoi utenti finali, se possibile.

La pagina sulla sicurezza elenca esplicitamente ciò che non abbiamo costruito intenzionalmente, affinché revisori o ricercatori ne siano informati direttamente da noi piuttosto che scoprirlo durante le verifiche: i volumi attivi non sono cifrati su disco, il registro di audit è di tipo append-only a livello applicativo e non include catene di hash o firme, non esiste un'ampia Content Security Policy e attualmente non deteniamo certificazioni di sicurezza di terze parti. Pubblicare le nostre lacune è la forma più economica di onestà nel settore e fa risparmiare una settimana a tutti.

Le segnalazioni di sicurezza e le domande relative a questa politica vanno inviate a security@transglot.ai. Tutto ciò che non riguarda la sicurezza, inclusi abusi e violazioni del copyright, va inviato a hello@transglot.ai. Le questioni relative alla privacy e alla protezione dei dati vanno inviate a privacy@transglot.ai.