Pesquisa de boa-fé nunca é recebida com advogados.

A pesquisa de segurança torna o produto mais seguro, e queremos que o relatório chegue até nós antes de chegar a um atacante. Se você seguir esta política, nós: acknowledgearemos seu relatório rapidamente, trabalharemos com você para entendê-lo e validá-lo, manteremos você informado enquanto corrigimos o problema, daremos crédito a você se desejar, e não iniciaremos nem apoiaremos ações legais contra você pela pesquisa. Esse último compromisso é o objetivo deste documento, e a cláusula 07 o detalha em termos jurídicos.

Envie um e-mail para security@transglot.ai. Inclua o que você encontrou, onde encontrou, os passos para reproduzir, o que um atacante poderia fazer com isso e qualquer coisa que nos ajude a confirmar: uma solicitação e resposta, um vídeo curto, uma prova de conceito. Informe-nos se deseja receber crédito e sob qual nome. Escreva em inglês, se possível. Se quiser criptografar o relatório, peça em uma primeira mensagem e trocaremos uma chave. Também publicamos um arquivo security.txt com o mesmo endereço, para que scanners automatizados apontem para uma caixa de entrada lida por uma pessoa.

Reconhecemos um relatório dentro de três dias úteis. Fornecemos uma avaliação inicial, incluindo se conseguimos reproduzi-lo e como o classificamos, dentro de dez dias úteis. Informamos quando uma correção é lançada e, normalmente, teremos lançado uma correção para um problema alto ou crítico dentro de noventa dias após sua validação, mais rápido se o risco estiver ativo. Se uma correção levar mais tempo, explicamos o motivo em vez de ficar em silêncio. Informaremos você antes de publicar qualquer coisa sobre o problema e não publicaremos seu nome sem perguntar.

Por favor, aguarde noventa dias após seu primeiro relatório antes de publicar detalhes, e prazos maiores por acordo se a correção for genuinamente complexa ou se exigir ação do cliente. Não usaremos esse período para ocultar o problema: manteremos você atualizado e, se não conseguirmos corrigi-lo, informaremos também, e não objetaremos à publicação após o término do período. Se um problema estiver sendo ativamente explorado, informe-nos imediatamente e agiremos nessa velocidade. Estamos dispostos a coordenar um aviso conjunto e a solicitar um CVE quando apropriado.

O aplicativo web de produção e o site de marketing em nossos próprios domínios, a API REST pública, o endpoint de entrega, o editor contextual e suas superfícies de incorporação, nossos pacotes de cliente publicados, nossa entrega e assinatura de webhook, nossos fluxos de autenticação e single sign-on, e nossa infraestrutura pública conforme acessível pela internet. Relatórios sobre decisões de design que documentamos como trocas deliberadas, como o pool compartilhado de memória de tradução de correspondência exata ou a ausência de criptografia em nível de disco em volumes ativos, são bem-vindos como argumentos, mas não são vulnerabilidades: estão declarados na página de segurança precisamente para que um pesquisador não passe uma tarde provando algo que já publicamos.

Qualquer coisa não operada por nós, incluindo o site próprio de um cliente, uma integração de terceiros e qualquer sistema acessado através de um conector. Negação de serviço, testes volumétricos ou de esgotamento de recursos, e qualquer coisa que degrade o serviço para outros usuários. Engenharia social, phishing ou tentativas físicas contra nossa equipe, nossos escritórios ou nossos fornecedores. Spam e relatórios gerados por scanner automatizado sem análise anexada. Descobertas que sejam apenas um cabeçalho de melhor prática ausente, um flag de cookie sem impacto demonstrado, uma biblioteca desatualizada sem caminho explorável, um limite de taxa que você encontrou ao excedê-lo, um cross-site scripting autoinfligido, um relatório de clickjacking em uma página sem ação sensível, ou a ausência de uma política ampla de segurança de conteúdo, que já documentamos como lacuna. Vulnerabilidades que exigem acesso físico ao dispositivo desbloqueado da vítima ou que exigem comprometimento de nível root da máquina da própria vítima.

Se você fizer um esforço de boa fé para cumprir esta política durante sua pesquisa, consideraremos sua pesquisa autorizada, trabalharemos com você para entender e resolver o problema rapidamente, e não recomendaremos nem iniciaremos ações legais contra você, incluindo sob leis de uso indevido de computadores, anti-hacking, anti-contorno ou direito contratual, e incluindo qualquer reclamação sob a Política de Uso Aceitável ou os Termos de Serviço que seus testes violariam otherwise. Se uma terceira parte iniciar uma ação contra você por pesquisas conduzidas sob esta política, tornaremos público que suas atividades foram autorizadas. Este porto seguro é limitado a nós: não pode e não autoriza você a agir contra uma terceira parte, outro cliente ou os sistemas de qualquer outra pessoa.

Use apenas logins e Contas que você possui ou para os quais tem permissão explícita para testar, e crie seu próprio espaço de trabalho gratuito, em vez de sondar o de outra pessoa. Não acesse, modifique, copie, extraia ou destrua dados que não sejam seus e, se encontrar dados de clientes por acidente, pare, não os salve e informe-nos imediatamente o que viu, para que possamos avaliar a exposição. Não degrade a disponibilidade nem execute testes de carga, estresse ou negação de serviço. Não use uma descoberta para obter mais acesso do que o necessário para demonstrá-la e não mantenha persistência. Não extorça e não condicione a divulgação a um pagamento. Não publique antes do permitido pela cláusula 04. Cumpra a legislação aplicável e quaisquer restrições de controle de exportação ou sanções que se apliquem a você.

Não há programa pago de bug bounty atualmente. O que oferecemos é uma resposta humana rápida, crédito em um reconhecimento público se você desejar, uma referência escrita para descobertas graves e o porto seguro acima. Se iniciarmos um programa pago, publicaremos o escopo e as faixas aqui antes de aceitarmos a primeira submissão.

Não exigiremos que você assine um acordo de confidencialidade como condição para receber seu relatório, nem usaremos um formulário de envio de relatório para impor silêncio. Não o ameaçaremos por um relatório que se revele de baixa severidade ou duplicado. Não o denunciaremos ao seu empregador, universidade ou plataforma. Se discordarmos da sua classificação de severidade, explicaremos o motivo em vez de encerrar a thread.

Um cliente que encontra uma vulnerabilidade ao usar o produto está coberto por esta política e por sua proteção legal, e reportá-la nunca constitui violação da Política de Uso Aceitável. Reporte ao endereço de segurança em vez do suporte comum, para que chegue às pessoas certas sem ficar em fila. Evite testar com dados de produção pertencentes aos seus próprios usuários finais, se possível.

A página de segurança lista as coisas que não construímos, propositalmente, para que revisores ou pesquisadores saibam delas por nós, e não durante due diligence: os volumes ativos não são criptografados em disco, o log de auditoria é apenas de acréscimo na camada de aplicação e não possui cadeia de hash ou assinatura, não há política ampla de segurança de conteúdo e não possuímos certificação de segurança de terceiros no momento. Publicar nossas próprias lacunas é a honestidade mais barata do setor e economiza uma semana para todos.

Relatórios de segurança e dúvidas sobre esta política devem ser enviados para security@transglot.ai. Questões que não sejam de segurança, incluindo abuso e direitos autorais, devem ser enviadas para hello@transglot.ai. Questões de privacidade e proteção de dados devem ser enviadas para privacy@transglot.ai.