Utafiti wa nia njema haikabiliwi na mawakili kamwe.

Utafiti wa usalama unafanya bidhaa kuwa salama zaidi, na tunataka ripoti ifike kwetu kabla haijafika kwa mshambuliaji. Ikiwa utafuata sera hii, tutakuwa: tukubali ripoti yako haraka, kufanya kazi nawe kuelewa na kuthibitisha, kukujulisha wakati tunarekebisha, kukupa sifa ikiwa unataka kupewa sifa, na kutoshtaki au kusaidia hatua za kisheria dhidi yako kwa utafiti. Ahadi hiyo ya mwisho ndio lengo la hati hii, na kifungu cha 07 kinaielezea kwa maneno.

Tuma barua pepe kwa security@transglot.ai. Jumuisha ulichokigundua, ulipopata, hatua za kuirudia, kile mshambuliaji anaweza kufanya nacho, na kitu chochote kinachotusaidia kuthibitisha: ombi na majibu, video fupi, ushahidi wa dhana. Tuambie ikiwa unataka kupewa sifa na chini ya jina gani. Andika kwa Kiingereza ikiwa unaweza. Ikiwa unataka kusimba ripoti, uliza katika ujumbe wa kwanza na tutabadilishana ufunguo. Pia tunachapisha faili ya security.txt yenye anwani ileile, ili skena otomatiki ionyeshe kwenye sanduku la barua linalosomwa na mtu.

Tunakubali ripoti ndani ya siku tatu za kazi. Tunatoa tathmini ya awali, ikiwa ni pamoja na ikiwa tunaweza kuirudia na jinsi tulivyoiweka kiwango, ndani ya siku kumi za kazi. Tutakuambia wakati marekebisho yanapotolewa na kwa kawaida tutakuwa tumeyatolea kwa suala la juu au muhimu ndani ya siku tisini za kuthibitisha, haraka zaidi ikiwa hatari inafanya kazi. Ikiwa marekebisho yatachukua muda mrefu tutakuambia sababu badala ya kukimya. Tutakuambia kabla hatujachapisha kitu chochote kuhusu suala hilo, na hatuchapishi jina lako bila kuuliza.

Tafadhali tupatie siku tisini tangu ripoti yako ya kwanza kabla ya kuchapisha maelezo, na muda mrefu kwa makubaliano ikiwa marekebisho ni magumu kweli au ikiwa marekebisho yanahitaji mteja kuchukua hatua. Hatutumii kipindi hicho kuzika suala: tutakuendeleza habari, na ikiwa hatuweza kulirekebisha tutakuambia pia, na hatapinga uchapishaji mara kipindi kimeisha. Ikiwa suala linatumika kwa nguvu, tuambie mara moja na tutaharakisha kasi hiyo badala. Tunafurahi kuratibu ushauri wa pamoja na kuomba CVE ambapo inafaa.

Programu ya wavuti ya uzalishaji na tovuti ya uuzaji kwenye vikoa vyetu wenyewe, API ya REST ya umma, sehemu ya utoaji, kihariri cha muktadha na nyuso zake za kuingizwa, vifurushi vyetu vya wateja vilivyochapishwa, utoaji wa webhook na usaini, mtiririko wetu wa uthibitishaji na kuingia kwa mara moja, na miundombinu yetu ya umma inapofikiwa kutoka kwenye intaneti. Ripoti kuhusu uamuzi wa muundo ambao tumedokeza kama ubadilishaji wa makusudi, kama vile hifadhi ya kumbukumbu ya tafsiri ya ulinganisho kamili iliyoshirikiwa au kutokuwepo kwa usimbaji wa kiwango cha diski kwenye ujazo wa moja kwa moja, zinakaribishwa kama hoja lakini si udhaifu: zimetajwa kwenye ukurasa wa usalama hasa ili mtafiti asipoteze jioni akithibitisha kitu ambacho tayari tunachapisha.

Kitu chochote kisichoendeshwa na sisi, ikiwa ni pamoja na tovuti ya mteja yenyewe, muunganisho wa mtu wa tatu na mfumo wowote unaoonekana kupitia kiunganishi. Ujaribu wa kukata huduma (denial of service), upimaji wa uchakavu wa rasilimali au ujazo, na kitu chochote kinachopunguza ubora wa huduma kwa watumiaji wengine. Uhandisi wa kijamii, ulaghai (phishing), au majaribio ya kimwili dhidi ya wafanyakazi wetu, ofisi zetu au wasambazaji wetu. Barua taka (spam), na ripoti zinazotolewa na kichanganuzi cha otomatiki bila uchambuzi ulioambatishwa. Matokeo ambayo ni sehemu inayokosekana ya kichwa cha mazoea bora, bendera ya cookie isiyo na athari iliyothibitishwa, maktaba ya zamani isiyo na njia inayoweza kutumiwa vibaya, kikomo cha kiwango ulichogundua kwa kukiuka, udhaifu wa kuvuka tovuti (cross-site scripting) uliosababishwa na wewe mwenyewe, ripoti ya clickjacking kwenye ukuramba usio na hatua nyeti, au kutokuwepo kwa sera pana ya usalama wa maudhui, ambayo tayari tumedokeza kuwa ni pengo. Udhaifu unaohitaji ufikiaji wa kimwili kwa kifaa kilichofunguliwa cha mwathirika, au unaohitaji uvunjaji wa kiwango cha root kwenye mashine ya mwathirika mwenyewe.

Ikiwa utafanya juhudi za dhati za kufuata sera hii wakati wa utafiti wako, tutazingatia utafiti wako kuwa umiidhinishwa, tutafanya kazi nawe kuelewa na kutatua tatizo haraka, na hatutapendekeza au kufuata hatua za kisheria dhidi yako, ikiwa ni pamoja na chini ya sheria za matumizi mabaya ya kompyuta, dhidi ya uvamizi, dhidi ya kukwepa au sheria za mkataba, na ikiwa ni pamoja na dai lolote chini ya Sera ya Matumizi Yanayokubalika au Masharti ya Huduma ambayo majaribu yako yangevunja vinginevyo. Ikiwa mtu wa tatu ataleta kesi dhidi yako kwa utafiti uliofanywa chini ya sera hii, tutafahamisha kwamba shughuli zako zilikuwa zimeidhinishwa. Bandari hii salama imepakana nasi: haiwezi na haidhinishi wewe kuchukua hatua dhidi ya mtu wa tatu, mteja mwingine, au mifumo ya mtu yeyote mwingine.

Tumia tu vitambulisho vya kuingia na Akaunti unazomiliki au una ruhusa dhahiri ya kuzipima, na unda eneo lako la kazi la bure badala ya kuchunguza la mtu mwingine. Usifikie, ubadilishe, unakili, utoe nje au uharibu data ambayo si yako, na ikiwa utakutana na data ya mteja kwa bahati mbaya, acha, usiihifadhi, na utuambie mara moja ulichoona ili tuthibiti kiwango cha ufichukaji. Usipunguze upatikanaji au uendeshe majaribu ya mzigo, msongo au kukata huduma. Usitumie matokeo kupata ufikiaji zaidi kuliko unavyohitaji kuonyesha hilo, na usidumishe kudumu. Usinyanyase, na usifanye ufichuzi utegemeze malipo. Usichapishe kabla kifungu 04 hakiruhusu. Fuata sheria zinazotumika na vikwazo vyovyote vya udhibiti wa usafirishaji au vizuizi vinavyokuhusu.

Hakuna tuzo ya pesa kwa mdudu (bug bounty) kwa sasa. Kinacho tunachotoa ni majibu ya haraka na ya kibinadamu, sifa katika utangulizi wa umma ikiwa unataka, rejea iliyoandikwa kwa matokeo makubwa, na bandari salama iliyo hapo juu. Ikiwa tunaanza mpango wa kulipa, tutachapisha upeo na masafa hapa kabla hatujapokea wasilisho la kwanza.

Hatukuomba usaini mkataba wa kutofichua kama sharti la kupokea ripoti yako, na hatutumii fomu ya kuwasilisha ripoti kama njia ya kukufunga kimya. Hatukutishii kwa ripoti inayogundulika kuwa na hatari ndogo au nakala. Hatukuripoti kwa mwajiri wako, chuo kikuu chako au jukwaa. Ikiwa tutakosa makubaliano na kiwango chako cha ukubwa tutaelezea sababu badala ya kufunga mjadala.

Mteja anayegundua udhaifu wakati anatumia bidhaa anafunikwa na sera hii na salama lake la kisheria, na kuripoti moja si ukiukaji wa Sera ya Matumizi Yanayokubalika kamwe. Ripoti hiyo ipelekee kwa anwani ya usalama badala ya kupitia msaada wa kawaida, ili ifike kwa watu sahihi bila kukaa katika foleni. Usijaribu kwa data ya uzalishaji inayomilikiwa na watumiaji wako wa mwisho ikiwa unaweza kuepuka.

Ukurasa wa usalama unataja vitu ambavyo hatujajenga, kwa makusudi, ili mrithi au mtafiti ajifunze kutoka kwetu badala ya katika ukaguzi: ujazo wa moja kwa moja haujasimbwa kwa diski, logi ya ukaguzi ni ya kuongeza pekee katika safu ya programu na haibeba mnyororo wa hash au saini, hakuna sera pana ya usalama wa maudhui, na hatushikii cheti cha usalama wa mtu wa tatu leo. Kuchapisha mapengo yetu wenyewe ni uaminifu wa bei nafuu zaidi katika biashara na inaokoa kila mtu wiki moja.

Ripoti za usalama na maswali kuhusu sera hii yanaenda kwa security@transglot.ai. Kitu chochote kisicho suala la usalama, ikiwa ni pamoja na unyanyasaji na haki miliki, kinaenda kwa hello@transglot.ai. Faragha na ulinzi wa data vinaenda kwa privacy@transglot.ai.