Forskning i god tro møtes aldri med advokater.

Sikkerhetsforskning gjør produktet tryggere, og vi ønsker at rapporten skal nå oss før den når en angriper. Hvis du følger denne retningslinjen, vil vi: anerkjenne rapporten din raskt, samarbeide med deg for å forstå og validere den, holde deg oppdatert mens vi fikser problemet, gi deg ære hvis du ønsker det, og ikke iverksette eller støtte juridiske tiltak mot deg for forskningen. Det siste punktet er kjernen i dette dokumentet, og klausul 07 uttrykker det tydelig.

Send e-post til security@transglot.ai. Inkluder hva du fant, hvor du fant det, trinnene for å reprodusere det, hva en angriper kunne gjort med det, og alt som hjelper oss med å bekrefte det: en forespørsel og respons, en kort video, et proof of concept. Fortell oss om du ønsker å bli kreditert og under hvilket navn. Skriv på engelsk hvis du kan. Hvis du ønsker å kryptere rapporten, be om det i en første melding, så utveksler vi en nøkkel. Vi publiserer også en security.txt-fil med samme adresse, slik at automatiserte skannere peker mot en postboks som leses av en person.

Vi anerkjenner en rapport innen tre virkedager. Vi gir en innledende vurdering, inkludert om vi kan reprodusere det og hvordan vi har vurdert det, innen ti virkedager. Vi informerer deg når en løsning er lansert, og vi vil normalt ha løst et høyt eller kritisk problem innen nitti dager etter validering, raskere dersom risikoen er aktiv. Hvis en løsning tar lengre tid, forklarer vi hvorfor i stedet for å tie. Vi vil varsle deg før vi publiserer noe om problemet, og vi vil ikke publisere navnet ditt uten å spørre.

Vennligst gi oss nitti dager fra din første rapport før du publiserer detaljer, og lenger ved avtale hvis løsningen er genuint kompleks eller krever at en kunde handler. Vi vil ikke bruke denne perioden til å skjule problemet: vi holder deg oppdatert, og hvis vi ikke kan løse det, vil vi også informere deg om dette, og vi vil ikke motsette oss publisering når perioden er ute. Hvis et problem blir aktivt utnyttet, informer oss umiddelbart, og vi vil akselerere prosessen. Vi koordinerer gjerne en felles advis og ber om en CVE der det er hensiktsmessig.

Produksjonswebapplikasjonen og markedsføringssiden på våre egne domener, det offentlige REST-API-et, leveringsendepunktet, editoren i kontekst og dens innebyggingsflater, våre publiserte klientpakker, vår webhook-levering og signering, våre autentiserings- og single sign-on-flyter, og vår offentlige infrastruktur slik den er tilgjengelig fra internett. Rapporter om designbeslutninger vi har dokumentert som bevisste avveininger, slik som den delte eksakt-match oversettelsesminnepoolen eller fraværet av disk-kryptering på live-volumer, er velkomne som argumenter, men er ikke sårbarheter: de er oppført på sikkerhetssiden nettopp slik at en forsker ikke bruker en ettermiddag på å bevise noe vi allerede har publisert.

Alt vi ikke drifter, inkludert en kundes egen nettside, tredjepartsintegrasjoner og ethvert system nådd gjennom en kobling. Nektelse av tjeneste (DoS), volumetrisk testing eller ressursutmattning, og alt som forringer tjenesten for andre brukere. Sosial manipulering, phishing eller fysiske forsøk mot vårt personell, våre kontorer eller våre leverandører. Spam og rapporter generert av automatiserte skannere uten analyse. Funns som kun er manglende beste-praksis-headere, en cookie-flagg uten demonstrert effekt, et utdatert bibliotek uten utnyttbar vei, en hastighetsbegrensning du fant ved å overskride den, selvforårsaket cross-site scripting, en clickjacking-rapport på en side uten sensitiv handling, eller fraværet av en bred content security policy, som vi allerede dokumenterer som et gap. Sårbarheter som krever fysisk tilgang til et offers ulåste enhet, eller som krever root-nivå kompromittering av offerets egen maskin.

Hvis du gjør en god tro innsats for å overholde denne retningslinjen under din forskning, vil vi betrakte forskningen din som autorisert, vi vil samarbeide med deg for å forstå og løse problemet raskt, og vi vil ikke anbefale eller iverksette juridiske tiltak mot deg, inkludert under lover om datamisbruk, anti-hacking, anti-omgåelse eller kontraktrett, og inkludert ethvert krav under Akseptabel brukspraksis eller Vilkår for bruk som testingen din ellers ville brutt. Hvis en tredjepart reiser sak mot deg for forskning utført under denne retningslinjen, vil vi gjøre det kjent at aktivitetene dine var autoriserte. Denne trygge havnen er begrenset til oss: den kan ikke og autoriserer deg ikke til å handle mot en tredjepart, en annen kunde eller noens andre systemer.

Bruk kun påloggingsdetaljer og kontoer du eier eller har eksplisitt tillatelse til å teste, og opprett ditt eget gratis arbeidsområde i stedet for å sondere andres. Ikke få tilgang til, endre, kopiere, ekstrahere eller ødelegge data som ikke er dine, og hvis du støter på kundedata ved et uhell, stopp, ikke lagre det, og fortell oss umiddelbart hva du så slik at vi kan vurdere eksponeringen. Ikke forring tilgjengeligheten eller kjør last-, stress- eller nektelse-av-tjeneste-tester. Ikke bruk et funn til å få mer tilgang enn du trenger for å demonstrere det, og ikke oppretthold persistens. Ikke utpress, og ikke sett betingelser for offentliggjøring knyttet til betaling. Ikke publiser før klausul 04 tillater det. Overhold gjeldende lovverk og eventuelle eksportkontroll- eller sanksjonsrestriksjoner som gjelder for deg.

Det finnes ingen betalt bug bounty-program i dag. Det vi tilbyr er en rask, menneskelig respons, kreditering i en offentlig anerkjennelse hvis du ønsker det, en skriftlig referanse for seriøse funn, og den trygge havnen ovenfor. Hvis vi starter et betalt program, vil vi publisere omfanget og beløpsintervallene her før vi mottar den første innsendingen.

Vi vil ikke be deg signere en taushetserklæring som betingelse for å motta rapporten din, og vi vil ikke bruke et innsendingsskjema for rapporter som et middel til å binde deg til taushet. Vi vil ikke true deg for en rapport som viser seg å ha lav alvorlighetsgrad eller være en duplikat. Vi vil ikke rapportere deg til arbeidsgiveren din, universitetet ditt eller en plattform. Hvis vi er uenige i din alvorlighetsvurdering, vil vi forklare hvorfor i stedet for å lukke tråden.

En kunde som finner en sårbarhet mens de bruker produktet, er dekket av denne policyen og dens safe harbour-bestemmelse, og rapportering er aldri et brudd på retningslinjene for akseptabel bruk. Rapporter det til sikkerhetsadressen i stedet for gjennom vanlig kundestøtte, slik at det når rett personell uten å ligge i kø. Unngå testing med produksjonsdata som tilhører dine egne sluttbrukere dersom det lar seg gjøre.

Sikkerhetssiden navngir ting vi bevisst ikke har bygget, slik at en reviewer eller forsker får vite dette fra oss heller enn gjennom due diligence: live-volumene er ikke disk-kryptert, revisjonsloggen er kun-append-basert på applikasjonslaget og har ingen hash-kjede eller signatur, det finnes ingen bred Content Security Policy, og vi innehar ingen tredjeparts sikkerhetssertifisering per i dag. Å publisere våre egne mangler er den billigste formen for ærlighet i bransjen, og det sparer alle for en ukes arbeid.

Sikkerhetsrapporter og spørsmål om denne policyen sendes til security@transglot.ai. Alt som ikke er et sikkerhetsproblem, inkludert misbruk og opphavsrett, sendes til hello@transglot.ai. Personvern og databeskyttelse sendes til privacy@transglot.ai.