सद्भावपूर्ण संशोधन याला कधीही वकिलांची भेट दिली जात नाही.

सुरक्षा संशोधनामुळे उत्पादन अधिक सुरक्षित होते आणि आम्हाला हा अहवाल हल्लाखोरांपर्यंत पोहोचण्यापूर्वी आमच्याकडे पोहोचावा असे वाटते. जर तुम्ही या धोरणाचे पालन केले, तर आम्ही: तुमचा अहवाल वेगाने मान्य करू, तो समजून घेण्यासाठी आणि वैध करण्यासाठी तुमच्याशी काम करू, तो दुरुस्त करताना तुम्हाला माहिती देऊन ठेवू, तुम्हाला श्रेय द्यायचे असल्यास ते देऊ आणि संशोधनासाठी तुमच्या विरोधात कोणतीही कायदेशीर कारवाई करणार नाही किंवा तिचे समर्थन करणार नाही. शेवटची बांधिलकी म्हणजेच या दस्तऐवजाचा मुख्य उद्देश आहे आणि कलम ०७ मध्ये ती स्पष्टपणे नमूद केली आहे.

security@transglot.ai वर ईमेल करा. तुम्हाला काय सापडले, ते कुठे सापडले, ते पुनरुत्पादित करण्याच्या पायऱ्या, हल्लाखोर त्याचा वापर करून काय करू शकेल आणि ते आमच्यासाठी पुष्टी करण्यास मदत करणारी कोणतीही गोष्ट समाविष्ट करा: विनंती आणि प्रतिसाद, छोटा व्हिडिओ, किंवा संकल्पनेचा पुरावा (proof of concept). तुम्हाला श्रेय द्यायचे आहे का आणि कोणत्या नावाने द्यायचे आहे, हे आम्हाला सांगा. शक्य असल्यास इंग्रजीत लिहा. जर तुम्हाला अहवाल एन्क्रिप्ट करायचा असेल, तर पहिल्या संदेशात विचारा आणि आम्ही कीची देवाणघेवाण करू. आम्ही त्याच पत्त्यासह security.txt फाइल देखील प्रकाशित करतो, ज्यामुळे ऑटोमेटेड स्कॅनर एखाद्या व्यक्तीने वाचणाऱ्या मेलबॉक्सकडे निर्देशित होतो.

आम्ही तीन कार्य दिवसांच्या आत अहवाल मान्य करतो. आम्ही दहा कार्य दिवसांच्या आत प्राथमिक मूल्यांकन देतो, ज्यामध्ये आम्ही ते पुनरुत्पादित करू शकतो का आणि आम्ही त्याचे रेटिंग कसे केले आहे, याचा समावेश असतो. दुरुस्ती जारी झाल्यावर आम्ही तुम्हाला कळवू आणि उच्च किंवा गंभीर समस्यांसाठी सामान्यतः ती वैध ठरल्याच्या नव्वद दिवसांच्या आत दुरुस्ती जारी केलेली असेल, जोखीम सक्रिय असल्यास त्यापेक्षा वेगाने. जर दुरुस्तीला जास्त वेळ लागणार असेल, तर आम्ही शांत राहण्याऐवजी कारण सांगू. मुद्द्याबद्दल काहीही प्रकाशित करण्यापूर्वी आम्ही तुम्हाला कळवू आणि विचारल्याशिवाय आम्ही तुमचे नाव प्रकाशित करणार नाही.

तुमच्या पहिल्या अहवालानंतर तपशील प्रकाशित करण्यापूर्वी आम्हाला नव्वद दिवस द्या, आणि जर दुरुस्ती खरोखरच गुंतागुंतीची असेल किंवा दुरुस्तीसाठी ग्राहकाने कारवाई करणे आवश्यक असेल, तर कराराद्वारे हा कालावधी वाढवा. आम्ही मुद्दा झाकण्यासाठी या कालावधीचा वापर करणार नाही: आम्ही तुम्हाला अपडेट देऊन ठेवू, आणि जर आम्ही ते दुरुस्त करू शकलो नाही, तर ते देखील आम्ही तुम्हाला सांगू, आणि कालावधी संपल्यानंतर प्रकाशनाला आम्ही हरकत घेणार नाही. जर एखादा मुद्दा सक्रियपणे गैरफायदा घेतला जात असेल, तर आम्हाला तात्काळ कळवा आणि आम्ही त्या वेगाने काम करू. आम्ही संयुक्त सल्लामसलतीचे समन्वय साधण्यास आणि योग्य असल्यास CVE ची विनंती करण्यास तयार आहोत.

आमच्या स्वतःच्या डोमेन्सवरचे उत्पादन वेब ऍप्लिकेशन आणि मार्केटिंग साइट, सार्वजनिक REST API, डिलिव्हरी एंडपॉइंट, इन-कॉन्टेक्स्ट एडिटर आणि त्याच्या एम्बेड पृष्ठभाग, आमची प्रकाशित केलेली क्लायंट पॅकेजेस, आमचे वेबहुक डिलिव्हरी आणि साइनिंग, आमचे प्रमाणीकरण आणि सिंगल साइन-ऑन फ्लो, आणि इंटरनेटवरून पोहोचता येणारी आमची सार्वजनिक इन्फ्रास्ट्रक्चर. आम्ही जाणीवपूर्वक केलेल्या व्यापाराचा भाग म्हणून नोंदवलेल्या डिझाइन निर्णयांबद्दलचे अहवाल, जसे की सामायिक अचूक-जुळणी भाषांतर मेमरी पूल किंवा लाइव्ह व्हॉल्यूम्सवर डिस्क-लेव्हल एन्क्रिप्शनचा अभाव, हे युक्तिवाद म्हणून स्वागतार्ह आहेत परंतु ते कमतरता (vulnerabilities) नाहीत: ते सुरक्षा पृष्ठावर स्पष्टपणे नमूद केले आहेत, जेणेकरून संशोधकाने आम्ही आधीच प्रकाशित केलेल्या गोष्टी सिद्ध करण्यासाठी दुपार वाया घालवू नये.

आमच्याद्वारे चालवली न जाणारी कोणतीही गोष्ट, ज्यामध्ये ग्राहकाची स्वतःची वेबसाइट, तृतीय-पक्ष इंटिग्रेशन आणि कनेक्टरद्वारे पोहोचलेली कोणतीही प्रणाली समाविष्ट आहे. सेवा नाकारणे (Denial of service), व्हॉल्यूमेट्रिक किंवा संसाधन संपुष्टात आणण्याची चाचणी आणि इतर वापरकर्त्यांसाठी सेवा खराब करणारी कोणतीही गोष्ट. सोशल इंजिनिअरिंग, फिशिंग किंवा आमच्या कर्मचारी, कार्यालये किंवा पुरवठादारांविरुद्धचे भौतिक प्रयत्न. स्पॅम आणि विश्लेषण न जोडलेल्या ऑटोमेटेड स्कॅनरद्वारे तयार केलेले अहवाल. असे निष्कर्ष जे फक्त हरवलेली सर्वोत्तम प्रॅक्टिस हेडर आहे, कोणताही सिद्ध झालेला परिणाम नसलेली कुकी फ्लॅग, कोणताही शोषण करता येणारा मार्ग नसलेली जुनी लायब्ररी, मर्यादा ओलांडून तुम्हाला सापडलेली रेट लिमिट, स्वतः निर्मित क्रॉस-साइट स्क्रिप्टिंग, संवेदनशील क्रिया नसलेल्या पृष्ठावरील क्लिकजॅकिंग अहवाल, किंवा व्यापक कंटेंट सिक्युरिटी पॉलिसीचा अभाव, जो आम्ही आधीच कमतरता म्हणून नोंदवला आहे. अशा कमतरता ज्यांना पीडिताच्या अनलॉक केलेल्या डिव्हाइसच्या भौतिक प्रवेशाची आवश्यकता आहे, किंवा पीडिताच्या स्वतःच्या मशीनच्या रूट-लेव्हल कंप्रोमाइझची आवश्यकता आहे.

जर तुम्ही तुमच्या संशोधनादरम्यान या धोरणाचे पालन करण्याचा चांगल्या हेतूने प्रयत्न केला, तर आम्ही तुमच्या संशोधनाला अधिकृत मानू, मुद्दा वेगाने समजून घेण्यासाठी आणि सोडवण्यासाठी आम्ही तुमच्याशी काम करू, आणि संगणक गैरवापर, अँटी-हॅकिंग, अँटी-सर्कमव्हेन्शन किंवा करार कायद्याखाली, आणि स्वीकार्य वापर धोरण किंवा सेवा अटींखालील कोणत्याही दाव्यासह, ज्याचे तुमचे चाचणीकरण अन्यथा उल्लंघन करेल, अशा तुमच्या विरोधात आम्ही कायदेशीर कारवाईची शिफारस करणार नाही किंवा ती पुढे नेणार नाही. जर तृतीय पक्षाने या धोरणांतर्गत केलेल्या संशोधनासाठी तुमच्या विरोधात कारवाई केली, तर आम्ही तुमच्या क्रियाकलाप अधिकृत होते हे स्पष्ट करू. हे सुरक्षित आश्रयस्थान आमच्यापुरते मर्यादित आहे: ते तुम्हाला तृतीय पक्ष, दुसरा ग्राहक किंवा इतर कोणाच्याही प्रणालींविरुद्ध कारवाई करण्यास अधिकृत करत नाही आणि करू शकत नाही.

फक्त तुमचे असलेले किंवा चाचणीसाठी स्पष्ट परवानगी असलेले लॉगिन आणि खाती वापरा, आणि दुसऱ्याच्या वर्कस्पेसमध्ये शोध घेण्याऐवजी तुमचे स्वतःचे मोफत वर्कस्पेस तयार करा. तुमचे नसलेला डेटा ऍक्सेस करू नका, बदलू नका, कॉपी करू नका, बाहेर काढू नका किंवा नष्ट करू नका, आणि जर तुम्हाला चुकून ग्राहक डेटा सापडला, तर थांबा, तो सेव्ह करू नका आणि आम्हाला तात्काळ सांगा की तुम्हाला काय दिसले जेणेकरून आम्ही जोखीम मोजू शकू. उपलब्धता खराब करू नका किंवा लोड, स्ट्रेस किंवा सेवा नाकारण्याच्या चाचण्या चालवू नका. ते सिद्ध करण्यासाठी आवश्यक असलेल्यापेक्षा जास्त प्रवेश मिळवण्यासाठी निष्कर्षाचा वापर करू नका आणि स्थिरता (persistence) राखू नका. ब्लॅकमेल करू नका आणि प्रकटीकरणासाठी पेमेंटची अट घालू नका. कलम ०४ परवानगी देईपर्यंत प्रकाशित करू नका. लागू कायद्याचे आणि तुम्हाला लागू होणाऱ्या कोणत्याही निर्यात नियंत्रण किंवा निर्बंधांचे पालन करा.

सध्या कोणतेही पैसे देणारे बग बाउंटी कार्यक्रम नाही. आम्ही काय ऑफर करतो ते म्हणजे वेगवान, मानवी प्रतिसाद, तुम्हाला हवे असल्यास सार्वजनिक मान्यतेमध्ये श्रेय, गंभीर निष्कर्षांसाठी लिखित संदर्भ आणि वरील सुरक्षित आश्रयस्थान. जर आम्ही पैसे देणारा कार्यक्रम सुरू केला, तर आम्ही पहिला अहवाल स्वीकारण्यापूर्वी येथे कार्यक्षेत्र आणि श्रेणी प्रकाशित करू.

We will not ask you to sign a non-disclosure agreement as a condition of receiving your report, and we will not use a report submission form as a way to bind you to silence. We will not threaten you for a report that turns out to be low severity or a duplicate. We will not report you to your employer, your university or a platform. If we disagree with your severity rating we will explain why rather than closing the thread.

प्रॉडक्ट वापरताना भेद्यता शोधणारा ग्राहक या धोरणाने आणि त्याच्या सुरक्षित आश्रयाने संरक्षित असतो आणि ते रिपोर्ट करणे हे कधीही स्वीकारार्ह वापर धोरणाचे उल्लंघन नसते. ते सामान्य सपोर्टद्वारे न पाठवता सुरक्षा पत्त्यावर रिपोर्ट करा, जेणेकरून ते रांगेत बसण्याऐवजी योग्य लोकांपर्यंत पोहोचेल. शक्य असल्यास, तुमच्या स्वतःच्या अंतिम वापरकर्त्यांच्या उत्पादन डेटासह चाचणी करू नका.

सुरक्षा पृष्ठावर आम्ही हेतुपुरस्सर काय बांधले नाही, याची नावे दिली आहेत, जेणेकरून पुनरावलोकन करणारा किंवा संशोधक ते आमच्याकडून शिकेल, तपासणीदरम्यान नव्हे: लाइव्ह व्हॉल्यूम्स डिस्क-एन्क्रिप्टेड नाहीत, ऑडिट लॉग ऍप्लिकेशन लेयरवर फक्त जोडण्याजोगा (append-only) आहे आणि त्यात कोणतीही हॅश चेन किंवा सही नाही, व्यापक कंटेंट सिक्युरिटी पॉलिसी नाही, आणि आज आमच्याकडे कोणतेही तृतीय-पक्ष सुरक्षा प्रमाणपत्र नाही. आमच्यातील कमतरता स्वतः प्रकाशित करणे ही व्यवसायातील सर्वात स्वस्त सचोटाई आहे आणि यामुळे सर्वांचा एक आठवडा वाचतो.

सुरक्षा अहवाल आणि या धोरणाबद्दलचे प्रश्न security@transglot.ai वर पाठवा. सुरक्षेशी संबंधित नसलेली कोणतीही गोष्ट, गैरवापर आणि कॉपीराइटसह, hello@transglot.ai वर पाठवा. गोपनीयता आणि डेटा संरक्षण privacy@transglot.ai वर पाठवा.