Penyelidikan niat baik tidak pernah disambut dengan peguam.

Penyelidikan keselamatan menjadikan produk lebih selamat, dan kami mahu laporan tersebut sampai kepada kami sebelum sampai kepada penyerang. Jika anda mematuhi dasar ini, kami akan: mengakui laporan anda dengan cepat, bekerjasama dengan anda untuk memahami dan mengesahkannya, memberitahu anda perkembangan semasa kami membetulkannya, memberikan kredit jika anda mahukannya, dan tidak mengambil atau menyokong tindakan undang-undang terhadap anda atas penyelidikan tersebut. Komitmen terakhir itu adalah tujuan dokumen ini, dan klausa 07 menyatakan istilahnya dengan jelas.

E-mel ke security@transglot.ai. Sertakan apa yang anda temui, di mana anda menemuinya, langkah untuk menghasilkan semula, apa yang boleh dilakukan oleh penyerang dengannya, dan apa-apa yang membantu kami mengesahkannya: permintaan dan respons, video pendek, atau bukti konsep. Beritahu kami jika anda mahu diberikan kredit dan di bawah nama apa. Tulis dalam bahasa Inggeris jika boleh. Jika anda mahu menyulitkan laporan, minta dalam mesej pertama dan kami akan bertukar kunci. Kami juga menerbitkan fail security.txt dengan alamat yang sama, supaya pengimbas automatik menghala ke peti mel yang dibaca oleh manusia.

Kami akan mengakui laporan dalam tempoh tiga hari bekerja. Kami akan memberikan penilaian awal, termasuk sama ada kami boleh menghasilkan semula isu tersebut dan bagaimana kami menarafkannya, dalam tempoh sepuluh hari bekerja. Kami akan memberitahu anda bila pembaikan dilancarkan dan kami biasanya akan melancarkan pembaikan untuk isu berkeutamaan tinggi atau kritikal dalam tempoh sembilan puluh hari selepas pengesahan, lebih cepat jika risiko sedang aktif. Jika pembaikan mengambil masa lebih lama, kami akan memberitahu anda sebabnya dan bukannya diam. Kami akan memberitahu anda sebelum kami menerbitkan apa-apa tentang isu tersebut, dan kami tidak akan menerbitkan nama anda tanpa bertanya.

Sila berikan kami sembilan puluh hari dari laporan pertama anda sebelum menerbitkan butiran, dan tempoh yang lebih panjang melalui persetujuan jika pembaikan itu benar-benar kompleks atau jika pembaikan memerlukan tindakan daripada pelanggan. Kami tidak akan menggunakan tempoh tersebut untuk menyembunyikan isu: kami akan sentiasa memberitahu anda perkembangan, dan jika kami tidak dapat membaikinya kami juga akan memberitahu anda, dan kami tidak akan membantah penerbitan selepas tempoh tersebut tamat. Jika isu sedang dieksploitasi secara aktif, beritahu kami segera dan kami akan bertindak dengan kelajuan tersebut. Kami bersedia untuk menyelaraskan nasihat bersama dan meminta CVE jika sesuai.

Aplikasi web pengeluaran dan laman pemasaran pada domain kami sendiri, API REST awam, titik akhir penghantaran, editor dalam konteks dan permukaan embednya, pakej klien yang diterbitkan, penghantaran webhook dan penandatanganannya, aliran pengesahan dan log masuk tunggal (SSO), serta infrastruktur awam kami sebagaimana yang boleh dicapai dari internet. Laporan tentang keputusan reka bentuk yang telah kami dokumentasikan sebagai pertukaran yang disengajakan, seperti kolam memori terjemahan padanan tepat yang dikongsi atau ketiadaan penyulitan peringkat cakera pada volum langsung, dialu-alukan sebagai hujah tetapi bukan kerentanan: ia dinyatakan di halaman keselamatan precisely supaya penyelidik tidak menghabiskan masa petang membuktikan sesuatu yang sudah kami terbitkan.

Apa-apa sahaja yang tidak dikendalikan oleh kami, termasuk laman web pelanggan sendiri, integrasi pihak ketiga dan sebarang sistem yang dicapai melalui penyambung. Penolakan perkhidmatan, ujian keletihan volumetrik atau sumber, dan apa-apa yang merosotkan perkhidmatan untuk pengguna lain. Kejuruteraan sosial, phishing, atau percubaan fizikal terhadap staf kami, pejabat kami atau pembekal kami. Spam, dan laporan yang dijana oleh pengimbas automatik tanpa analisis. Penemuan yang hanya merupakan header amalan terbaik yang hilang, flag kuki tanpa impak yang ditunjukkan, perpustakaan lapuk tanpa laluan yang boleh dieksploitasi, had kadar yang anda temui dengan melebihinya, cross-site scripting yang disebabkan sendiri, laporan clickjacking pada halaman tanpa tindakan sensitif, atau ketiadaan dasar keselamatan kandungan yang luas, yang sudah kami dokumentasikan sebagai kekurangan. Kerentanan yang memerlukan akses fizikal kepada peranti mangsa yang tidak dikunci, atau memerlukan kompromi peringkat root pada mesin mangsa sendiri.

Jika anda membuat usaha dengan niat baik untuk mematuhi dasar ini semasa penyelidikan anda, kami akan menganggap penyelidikan anda sebagai dibenarkan, kami akan bekerjasama dengan anda untuk memahami dan menyelesaikan isu tersebut dengan cepat, dan kami tidak akan mengesyorkan atau mengambil tindakan undang-undang terhadap anda, termasuk di bawah penyalahgunaan komputer, anti-penggodaman, anti-pintasan atau undang-undang kontrak, dan termasuk sebarang tuntutan di bawah Dasar Penggunaan Yang Boleh Diterima atau Terma Perkhidmatan yang sebaliknya akan dilanggar oleh ujian anda. Jika pihak ketiga mengambil tindakan terhadap anda untuk penyelidikan yang dijalankan di bawah dasar ini, kami akan menyatakan bahawa aktiviti anda telah dibenarkan. Pelabuhan selamat ini terhad kepada kami: ia tidak boleh dan tidak membenarkan anda bertindak terhadap pihak ketiga, pelanggan lain, atau sistem sesiapa sahaja.

Gunakan hanya log masuk dan Akaun yang anda miliki atau mempunyai kebenaran jelas untuk menguji, dan buat ruang kerja percuma anda sendiri daripada mengintip ruang kerja orang lain. Jangan akses, ubah, salin, eksfiltrasi atau musnahkan data yang bukan milik anda, dan jika anda menemui data pelanggan secara tidak sengaja, berhenti, jangan simpan, dan beritahu kami segera apa yang anda lihat supaya kami dapat menilai pendedahan. Jangan kurangkan ketersediaan atau jalankan ujian beban, tekanan atau penolakan perkhidmatan. Jangan gunakan penemuan untuk mendapatkan akses lebih daripada yang diperlukan untuk mendemonstrasikannya, dan jangan kekalkan kegigihan. Jangan melakukan ugutan, dan jangan syaratkan pendedahan dengan pembayaran. Jangan terbitkan sebelum klausa 04 membenarkannya. Patuhi undang-undang yang berkenaan dan sebarang sekatan kawalan eksport atau sanksi yang terpakai kepada anda.

Tiada program ganjaran pepijat berbayar pada masa ini. Apa yang kami tawarkan ialah respons manusia yang pantas, kredit dalam pengakuan awam jika anda mahukannya, rujukan bertulis untuk penemuan serius, dan pelabuhan selamat di atas. Jika kami memulakan program berbayar, kami akan menerbitkan skop dan julat di sini sebelum kami menerima penyerahan pertama.

We will not ask you to sign a non-disclosure agreement as a condition of receiving your report, and we will not use a report submission form as a way to bind you to silence. We will not threaten you for a report that turns out to be low severity or a duplicate. We will not report you to your employer, your university or a platform. If we disagree with your severity rating we will explain why rather than closing the thread.

Pelanggan yang menemui kerentanan semasa menggunakan produk dilindungi oleh dasar ini dan oleh pelabuhan selamatnya, dan melaporkannya tidak pernah menjadi pelanggaran Dasar Penggunaan Yang Boleh Diterima. Laporkannya ke alamat keselamatan dan bukannya melalui sokongan biasa, supaya ia sampai kepada orang yang betul tanpa duduk dalam barisan. Jangan uji dengan data pengeluaran milik pengguna akhir anda sendiri jika anda boleh mengelakkannya.

Halaman keselamatan menyenaraikan perkara yang sengaja tidak kami bina, supaya pengulas atau penyelidik mengetahuinya daripada kami dan bukannya melalui proses due diligence: volum langsung tidak disulitkan pada cakera, log audit hanya boleh ditambah di lapisan aplikasi dan tiada rantai hash atau tandatangan, tiada dasar keselamatan kandungan yang luas, dan kami tidak memegang pensijilan keselamatan pihak ketiga pada masa ini. Menerbitkan kekurangan kami sendiri adalah bentuk kejujuran paling murah dalam industri ini dan ia menjimatkan masa seminggu untuk semua pihak.

Laporan keselamatan dan soalan tentang dasar ini hendaklah dihantar ke security@transglot.ai. Apa-apa sahaja yang bukan isu keselamatan, termasuk penyalahgunaan dan hak cipta, hendaklah dihantar ke hello@transglot.ai. Privasi dan perlindungan data hendaklah dihantar ke privacy@transglot.ai.