선의의 연구 는 결코 법률적 대응을 받지 않습니다.

보안 연구는 제품을 더 안전하게 만들며, 당사는 취약점 보고가 공격자에게 유출되기 전에 당사에게 먼저 도달하기를 원합니다. 본 정책을 준수하실 경우 당사는 다음과 같이 조치합니다: 신속하게 보고서를 접수 확인하고, 귀하와 협력하여 문제를 이해 및 검증하며, 수정 작업 진행 상황을 지속적으로 공유하고, 희망 시 귀하의 공로를 인정하며, 연구 활동과 관련하여 법적 조치를 취하거나 지원하지 않습니다. 마지막 약속이 본 문서의 핵심이며, 조항 07에서 이를 구체적으로 명시하고 있습니다.

security@transglot.ai로 이메일을 보내주세요. 발견한 내용, 위치, 재현 단계, 공격자가 이를 악용할 경우 발생할 수 있는 영향, 그리고 확인에 도움이 되는 자료(요청 및 응답 데이터, 짧은 동영상, 개념 증명 코드 등)를 포함해 주십시오. 공로 인정을 원하는지, 어떤 이름으로 표기하기를 원하는지도 알려주세요. 가능하다면 영어로 작성해 주시기 바랍니다. 보고서 암호화를 원하시면 첫 메시지에서 요청해 주시면 키를 교환하겠습니다. 당사는 동일한 주소가 기재된 security.txt 파일도 게시하므로, 자동화된 스캐너가 사람이 확인하는 메일박스를 가리킬 수 있도록 합니다.

보고서 접수 후 3영업일 이내에 확인 메시지를 발송합니다. 10영업일 이내에 재현 가능 여부와 심각도 등급을 포함한 초기 평가를 제공하며, 수정 버전이 배포될 때 알려드립니다. 높음(high) 또는 중요(critical) 등급의 이슈는 검증 후 90일 이내에 일반적으로 수정 버전을 배포하며, 위험이 활성화된 경우에는 더 빠르게 대응합니다. 수정에 더 오랜 시간이 소요될 경우 침묵하지 않고 그 이유를 설명해 드립니다. 이슈 관련 내용을 공개하기 전에 반드시 귀하에게 알리며, 귀하의 동의 없이 이름을 공개하지 않습니다.

Please give us ninety days from your first report before publishing details, and longer by agreement if the fix is genuinely complex or if a fix requires a customer to act. We will not use that period to bury the issue: we will keep you updated, and if we cannot fix it we will tell you that too, and we will not object to publication once the period has run. If an issue is being actively exploited, tell us immediately and we will move at that speed instead. We are happy to coordinate a joint advisory and to request a CVE where one is appropriate.

The production web application and the marketing site on our own domains, the public REST API, the delivery endpoint, the in-context editor and its embed surfaces, our published client packages, our webhook delivery and signing, our authentication and single sign-on flows, and our public infrastructure as it is reachable from the internet. Reports about a design decision we have documented as a deliberate trade, such as the shared exact-match translation memory pool or the absence of disk-level encryption on live volumes, are welcome as arguments but are not vulnerabilities: they are stated on the security page precisely so a researcher does not spend an afternoon proving something we already publish.

당사가 운영하지 않는 모든 항목(고객의 웹사이트, 제3자 통합 및 커넥터를 통해 접근되는 시스템 등)은 제외됩니다. 서비스 거부(DoS), 대용량 트래픽 또는 리소스 고갈 테스트, 그리고 다른 사용자의 서비스 저해를 유발하는 모든 행위는 포함되지 않습니다. 당사 직원, 사무실 또는 공급업체를 대상으로 한 소셜 엔지니어링, 피싱 또는 물리적 시도도 제외됩니다. 스팸 및 분석 내용이 첨부되지 않은 자동 스캐너 보고서는 제외됩니다. 또한 단순 모범 사례 헤더 누락, 영향이 입증되지 않은 쿠키 플래그, 악용 경로가 없는 구식 라이브러리, 초과 시 발견된 속도 제한, 자가 유발 XSS, 민감한 작업이 없는 페이지의 클릭재킹 보고서, 그리고 이미 격차로 문서화된 광범위한 콘텐츠 보안 정책(CSP) 부재도 제외됩니다. 피해자의 잠금 해제된 장치에 대한 물리적 접근이나 피해자 머신의 루트 수준 침해가 필요한 취약점도 제외됩니다.

연구 과정에서 본 정책을 성실히 준수하신 경우, 당사는 귀하의 연구를 승인된 것으로 간주하며, 신속한 문제 해결을 위해 협력하고 컴퓨터 오용, 반해킹, 반우회 또는 계약법 하에서뿐만 아니라 허용 가능한 사용 정책(Acceptable Use Policy)이나 서비스 약관(Terms of Service) 위반 주장 포함하여 어떠한 법적 조치도 권장하거나 추구하지 않습니다. 본 정책에 따라 수행된 연구로 인해 제3자가 귀하에게 소송을 제기할 경우, 당사는 귀하의 활동이 승인되었음을 공식적으로 밝힙니다. 이 세이프 하버는 당사에 한정되며, 제3자, 다른 고객 또는 타인의 시스템에 대해 행동할 권한을 부여하지 않습니다.

본인이 소유하거나 명시적 허가를 받은 로그인 및 계정만 사용하시고, 타인의 워크스페이스를 탐색하기보다는 자체 무료 워크스페이스를 생성하여 테스트하십시오. 본인의 것이 아닌 데이터에 접근, 수정, 복사, 유출 또는 파괴하지 마십시오. 우연히 고객 데이터를 접하게 되면 즉시 중단하고 저장하지 않으며, 노출 여부를 평가할 수 있도록 발견 사실을 즉시 알려주십시오. 가용성을 저하시키거나 부하, 스트레스, 서비스 거부 테스트를 실행하지 마십시오. 증명에 필요한 것 이상의 액세스 권한을 얻기 위해 발견 사항을 이용하지 말고, 영구적인 접근(persistence)을 유지하지 마십시오. 협박하지 말고, 공개를 금전 지급 조건으로 하지 마십시오. 조항 04에서 허용하기 전에 공개하지 마십시오. 적용 가능한 법률과 귀하에게 적용되는 수출 통제 또는 제재 규정을 준수하십시오.

There is no paid bug bounty today. What we do offer is a fast, human response, credit in a public acknowledgement if you want it, a written reference for serious findings, and the safe harbour above. If we start a paid program we will publish the scope and the ranges here before we take the first submission.

당사는 보고서 접수를 조건으로 비밀 유지 계약(NDA) 서명을 요구하지 않으며, 보고서 제출 양식을 통해 침묵을 강요하지 않습니다. 심각도가 낮거나 중복된 보고서 때문에 귀하를 위협하지 않습니다. 당사는 귀하를 고용주, 대학 또는 플랫폼에 신고하지 않습니다. 심각도 평가에 이견이 있을 경우 스레드를 닫는 대신 이유를 설명합니다.

제품 사용 중 취약점을 발견한 고객은 본 정책과 세이프 하버의 보호를 받으며, 취약점 신고는 허용 가능한 사용 정책(Acceptable Use Policy) 위반으로 간주되지 않습니다. 일반 지원 채널이 아닌 보안 담당 이메일로 신고하여 대기열 없이 적절한 담당자에게 즉시 전달되도록 해 주세요. 가능한 경우 최종 사용자의 프로덕션 데이터로 테스트하지 마십시오.

보안 페이지에는 의도적으로 구축하지 않은 항목들을 명시하여, 검토자나 연구자가 실사 과정에서가 아니라 당사로부터 직접 이러한 사실을 인지할 수 있도록 합니다. 현재 라이브 볼륨은 디스크 암호화되지 않으며, 감사 로그는 애플리케이션 계층에서 추가만 가능(append-only)하고 해시 체인이나 서명이 포함되어 있지 않습니다. 광범위한 콘텐츠 보안 정책(CSP)은 적용되지 않으며, 제3자 보안 인증도 보유하고 있지 않습니다. 당사의 격차를 공개하는 것은 업계에서 가장 저렴한 형태의 정직함이며, 모든 관계자의 시간을 일주일 이상 절약해 줍니다.

보안 보고서 및 본 정책과 관련된 질문은 security@transglot.ai로 보내주세요. 남용 및 저작권 문제를 포함하여 보안 이슈가 아닌 모든 사항은 hello@transglot.ai로, 개인정보 보호 및 데이터 보호 관련 사항은 privacy@transglot.ai로 연락해 주시기 바랍니다.