Onderzoek te goeder trouw wordt nooit beantwoord met juridische stappen.

Beveiligingsonderzoek maakt het product veiliger en we willen dat het rapport ons bereikt voordat het een aanvaller bereikt. Als je dit beleid volgt, zullen wij: je rapport snel bevestigen, met je samenwerken om het te begrijpen en valideren, je op de hoogte houden terwijl we het oplossen, je crediteren als je dat wilt, en geen juridische actie tegen je ondernemen of ondersteunen voor het onderzoek. Die laatste toezegging is het doel van dit document en clausule 07 stelt dit in concrete termen.

Stuur een e-mail naar security@transglot.ai. Vermeld wat je hebt gevonden, waar je het hebt gevonden, de stappen om het te reproduceren, wat een aanvaller ermee zou kunnen doen en alles wat ons helpt het te bevestigen: een request en response, een korte video, een proof of concept. Laat ons weten of je gecrediteerd wilt worden en onder welke naam. Schrijf in het Engels als dat kan. Als je het rapport wilt versleutelen, vraag dan in een eerste bericht en we wisselen een sleutel uit. We publiceren ook een security.txt-bestand met hetzelfde adres, zodat een geautomatiseerde scanner verwijst naar een mailbox die door een persoon wordt gelezen.

We bevestigen een rapport binnen drie werkdagen. Binnen tien werkdagen geven we een eerste beoordeling, inclusief of we het kunnen reproduceren en hoe we het hebben ingeschaald. We laten je weten wanneer een fix wordt uitgebracht en voor een probleem met hoge of kritieke ernst hebben we normaal gesproken binnen negentig dagen na validatie een fix uitgebracht, sneller als het risico actief is. Als een fix langer duurt, leggen we uit waarom in plaats van stil te blijven. We laten je weten voordat we iets over het probleem publiceren en we zullen je naam niet publiceren zonder toestemming.

Geef ons negentig dagen vanaf je eerste rapport voordat je details publiceert, en langer in overleg als de fix echt complex is of als een fix vereist dat een klant actie onderneemt. We zullen die periode niet gebruiken om het probleem te begraven: we houden je op de hoogte en als we het niet kunnen oplossen, laten we je dat ook weten. We zullen geen bezwaar maken tegen publicatie zodra de periode is verstreken. Als een probleem actief wordt uitgebuit, laat het ons dan onmiddellijk weten en we zullen met die snelheid handelen. We werken graag mee aan een gezamenlijk advies en vragen een CVE aan waar dat passend is.

De productie webapplicatie en de marketingsite op onze eigen domeinen, de publieke REST API, het delivery endpoint, de in-context editor en de embed-surfaces, onze gepubliceerde clientpakketten, onze webhook-delivery en -signering, onze authenticatie- en single sign-on flows, en onze publieke infrastructuur zoals deze vanaf internet bereikbaar is. Rapporten over een designbeslissing die we hebben gedocumenteerd als een bewuste afweging, zoals de shared exact-match translation memory pool of het ontbreken van schijfversleuteling op live volumes, zijn welkom als argumenten maar zijn geen kwetsbaarheden: ze staan op de beveiligingspagina zodat een onderzoeker geen middag hoeft te besteden aan het bewijzen van iets dat we al publiceren.

Alles wat niet door ons wordt beheerd, waaronder de website van een klant, een integratie van derden en elk systeem dat via een connector wordt bereikt. Denial of service, volumetrische tests of resource-exhaustietests, en alles wat de service voor andere gebruikers degradeert. Social engineering, phishing of fysieke pogingen tegen ons personeel, onze kantoren of onze leveranciers. Spam en rapporten gegenereerd door een geautomatiseerde scanner zonder bijbehorende analyse. Bevindingen die alleen gaan over een ontbrekende best-practice header, een cookie-flag zonder aangetoonde impact, een verouderde bibliotheek zonder exploiteerbaar pad, een rate limit die je hebt gevonden door deze te overschrijden, self-inflicted cross-site scripting, een clickjacking-rapport op een pagina zonder gevoelige actie, of het ontbreken van een breed content security policy, wat we al als hiaat documenteren. Kwetsbaarheden die fysieke toegang tot het ontgrendelde apparaat van een slachtoffer vereisen, of die een root-level compromise van de machine van het slachtoffer vereisen.

Als je te goeder trouw probeert dit beleid na te leven tijdens je onderzoek, beschouwen we je onderzoek als geautoriseerd. We werken met je samen om het probleem snel te begrijpen en op te lossen en we zullen geen juridische actie tegen je aanbevelen of ondernemen, inclusief onder computermisbruik-, anti-hacking-, anti-omzeilings- of contractenrecht, en inclusief claims onder het Acceptabel Gebruiksbeleid of de Servicevoorwaarden die je testen anders zouden schenden. Als een derde partij een actie tegen je onderneemt voor onderzoek dat onder dit beleid is uitgevoerd, zullen we kenbaar maken dat je activiteiten geautoriseerd waren. Deze veilige haven is beperkt tot ons: het autoriseert je niet en kan je niet autoriseren om op te treden tegen een derde partij, een andere klant of de systemen van iemand anders.

Gebruik alleen logins en accounts die u bezit of waarvoor u uitdrukkelijke toestemming hebt om te testen, en maak uw eigen gratis werkruimte aan in plaats van die van iemand anders te onderzoeken. Geen toegang krijgen tot, wijzigen, kopiëren, exfiltreren of vernietigen van data die niet van u is, en als u per ongeluk klantgegevens tegenkomt, stop dan, sla ze niet op en vertel ons onmiddellijk wat u hebt gezien zodat we de blootstelling kunnen beoordelen. Verminder de beschikbaarheid niet en voer geen load-, stress- of denial-of-service-tests uit. Gebruik een bevinding niet om meer toegang te krijgen dan nodig is om deze aan te tonen en behoud geen persistentie. Pleeg geen chantage en koppel onthulling niet aan een betaling. Publiceer niet voordat clausule 04 dit toestaat. Houd u aan de toepasselijke wetgeving en aan alle exportcontrole- of sanctiebeperkingen die op u van toepassing zijn.

Er is momenteel geen betaalde bug bounty. Wat we wel bieden is een snelle, menselijke reactie, credit in een publieke erkenning als je dat wilt, een schriftelijke referentie voor serieuze bevindingen en de bovenstaande veilige haven. Als we een betaald programma starten, publiceren we hier de scope en de reeksen voordat we de eerste inzending accepteren.

We zullen je niet vragen een geheimhoudingsverklaring (NDA) te ondertekenen als voorwaarde voor het ontvangen van je rapport, en we zullen een inzendingformulier niet gebruiken om je tot stilzwijgen te verplichten. We zullen je niet bedreigen voor een rapport dat achteraf lage ernst blijkt te hebben of een duplicaat is. We zullen je niet melden bij je werkgever, universiteit of platform. Als we het niet eens zijn met jouw inschatting van de ernst, zullen we uitleggen waarom in plaats van de discussie af te sluiten.

Een klant die een kwetsbaarheid ontdekt tijdens het gebruik van het product, valt onder dit beleid en de veilige haven ervan. Het melden ervan is nooit een schending van het Acceptabel Gebruiksbeleid. Meld het via het beveiligingsadres in plaats van via de gewone ondersteuning, zodat het de juiste mensen bereikt zonder in een wachtrij te belanden. Test indien mogelijk niet met productiegegevens van je eigen eindgebruikers.

De beveiligingspagina noemt de dingen die we bewust niet hebben gebouwd, zodat een reviewer of onderzoeker dit van ons hoort in plaats van het zelf uit te zoeken: de live volumes zijn niet schijf-geëncrypteerd, het auditlogboek is alleen-aanvullend op applicatieniveau en heeft geen hash-keten of handtekening, er is geen breed content security policy en we hebben momenteel geen externe beveiligingscertificering. Het publiceren van onze eigen tekortkomingen is de goedkoopste vorm van eerlijkheid in de branche en het bespaart iedereen een week werk.

Beveiligingsrapporten en vragen over dit beleid gaan naar security@transglot.ai. Alles wat geen beveiligingsprobleem is, inclusief misbruik en auteursrecht, gaat naar hello@transglot.ai. Privacy en gegevensbescherming gaan naar privacy@transglot.ai.