Forskning i god tro möts aldrig av advokater.

Säkerhetsforskning gör produkten säkrare, och vi vill att rapporten ska nå oss innan den når en angripare. Om du följer denna policy kommer vi att: snabbt bekräfta din rapport, arbeta med dig för att förstå och validera den, hålla dig informerad medan vi åtgärdar problemet, ge dig erkännande om du vill ha det, och inte vidta eller stödja rättsliga åtgärder mot dig för forskningen. Det sista åtagandet är poängen med detta dokument, och klausul 07 anger det i detalj.

Mejla security@transglot.ai. Inkludera vad du hittade, var du hittade det, stegen för att reproducera det, vad en angripare skulle kunna göra med det, och allt som hjälper oss att bekräfta det: en begäran och svar, en kort video, ett proof of concept. Berätta för oss om du vill ha erkännande och under vilket namn. Skriv på engelska om du kan. Om du vill kryptera rapporten, fråga i ett första meddelande så byter vi nyckel. Vi publicerar också en security.txt-fil med samma adress, så att en automatisk skanner pekar på en inkorg som läses av en person.

Vi bekräftar en rapport inom tre arbetsdagar. Vi ger en första bedömning, inklusive om vi kan reproducera den och hur vi har klassificerat den, inom tio arbetsdagar. Vi berättar för dig när en fix släpps och vi kommer normalt att ha släppt en fix för ett högt eller kritiskt problem inom nittio dagar efter validering, snabbare om risken är aktiv. Om en fix kommer att ta längre tid berättar vi varför istället för att tiga. Vi kommer att informera dig innan vi publicerar något om problemet, och vi kommer inte att publicera ditt namn utan att fråga först.

Ge oss vänligen nittio dagar från din första rapport innan du publicerar detaljer, och längre om vi kommer överens om det om fixen är genuint komplex eller om en fix kräver att en kund agerar. Vi kommer inte att använda den perioden för att begrava problemet: vi håller dig uppdaterad, och om vi inte kan fixa det kommer vi att berätta det också, och vi kommer inte att invända mot publicering när perioden har löpt ut. Om ett problem utnyttjas aktivt, berätta det omedelbart för oss så arbetar vi i den takten istället. Vi samarbetar gärna med ett gemensamt advisory och begär en CVE där det är lämpligt.

Produktionswebbapplikationen och marknadsföringssajten på våra egna domäner, det offentliga REST-API:t, leveransslutpunkten, redigeraren i kontext och dess inbäddningsytor, våra publicerade klientpaket, vår webhook-leverans och signering, våra autentiserings- och single sign-on-flöden, och vår offentliga infrastruktur som den är tillgänglig från internet. Rapporter om en designbeslut vi har dokumenterat som en avsiktlig avvägning, såsom den delade poolen för exakta matchningar i översättningsminnet eller avsaknaden av diskkryptering på live-volymer, välkomnas som argument men är inte sårbarheter: de anges på säkerhetssidan just så att en forskare inte spenderar en eftermiddag på att bevisa något vi redan publicerar.

Allt som inte drivs av oss, inklusive en kunds egen webbplats, en tredjepartsintegration och alla system som nås via en connector. Neka-tjänst-attacker, volymetriska tester eller resursutmattnings Tester, och allt som försämrar tjänsten för andra användare. Social engineering, phishing eller fysiska försök mot vår personal, våra kontor eller våra leverantörer. Spam, och rapporter genererade av en automatisk skanner utan någon analys bifogad. Fynd som endast är en saknad best-practice-header, en cookie-flagga utan demonstrerad påverkan, ett föråldrat bibliotek utan utnyttjbar väg, en hastighetsbegränsning du hittade genom att överskrida den, en självframkallad cross-site scripting, en clickjacking-rapport på en sida utan känslig åtgärd, eller avsaknaden av en bred content security policy, vilket vi redan dokumenterar som en lucka. Sårbarheter som kräver fysisk åtkomst till ett offers olåsta enhet, eller som kräver en root-nivå-kompromettering av offrets egen maskin.

Om du gör ett uppriktigt försök att följa denna policy under din forskning, kommer vi att betrakta din forskning som auktoriserad, vi kommer att arbeta med dig för att förstå och lösa problemet snabbt, och vi kommer inte att rekommendera eller vidta rättsliga åtgärder mot dig, inklusive enligt lagar om dataintrång, anti-hackning, anti-kringgående eller avtalsrätt, och inklusive eventuella krav enligt policyn för godtagbar användning eller användarvillkoren som dina tester annars skulle bryta mot. Om en tredje part väcker talan mot dig för forskning som utförts enligt denna policy, kommer vi att göra det känt att dina aktiviteter var auktoriserade. Denna skyddshamn är begränsad till oss: den kan inte och auktoriserar inte dig att agera mot en tredje part, en annan kund eller någon annans system.

Använd endast inloggningar och konton som du äger eller har explicit tillstånd att testa, och skapa ditt eget gratisarbetsutrymme istället för att sondera någon annans. Få inte tillgång till, ändra, kopiera, extrahera eller förstöra data som inte är din, och om du stöter på kunddata av misstag, sluta, spara inte den, och berätta omedelbart för oss vad du såg så att vi kan bedöma exponeringen. Få inte tillgängligheten att försämras eller kör last-, stress- eller denial-of-service-tester. Använd inte ett fynd för att få mer åtkomst än du behöver för att demonstrera det, och upprätthåll inte persistens. Utpressa inte, och villkora inte offentliggörande med betalning. Publicera inte innan klausul 04 tillåter det. Följ gällande lagstiftning och eventuella exportkontroll- eller sanktionsrestriktioner som gäller för dig.

Det finns inget betalat bug bounty-program idag. Vad vi erbjuder är ett snabbt, mänskligt svar, erkännande i en offentlig bekräftelse om du vill ha det, en skriftlig referens för allvarliga fynd, och skyddshamnen ovan. Om vi startar ett betalat program kommer vi att publicera omfattningen och intervallerna här innan vi tar emot den första insändningen.

Vi kommer inte att be dig underteckna ett sekretessavtal som villkor för att ta emot din rapport, och vi kommer inte att använda ett formulär för rapportinlämning som ett sätt att binda dig till tystnad. Vi kommer inte att hota dig för en rapport som visar sig vara av låg allvarlighetsgrad eller en dubblett. Vi kommer inte att rapportera dig till din arbetsgivare, ditt universitet eller en plattform. Om vi inte håller med om din allvarlighetsbedömning kommer vi att förklara varför istället för att stänga tråden.

En kund som hittar en sårbarhet när hen använder produkten omfattas av denna policy och dess skyddshamn, och att rapportera en sårbarhet är aldrig ett brott mot policyn för godtagbar användning. Rapportera den till säkerhetsadressen istället för via vanlig support, så att den når rätt personer utan att ligga i kö. Testa inte med produktionsdata som tillhör dina egna slutanvändare om du kan undvika det.

På säkerhetssidan nämner vi de saker vi avsiktligt inte har byggt, så att en granskare eller forskare får veta detta från oss snarare än under due diligence: live-volymerna är inte diskkrypterade, granskningsloggen är append-only på applikationsnivå och har ingen hashkedja eller signatur, det finns ingen bred content security policy, och vi har idag inget tredjepartscertifikat för säkerhet. Att publicera våra egna luckor är den billigaste formen av ärlighet i branschen och sparar alla en vecka.

Säkerhetsrapporter och frågor om denna policy skickas till security@transglot.ai. Allt som inte är ett säkerhetsproblem, inklusive missbruk och upphovsrätt, skickas till hello@transglot.ai. Integritets- och dataskyddsfrågor skickas till privacy@transglot.ai.