நல்லெண்ண ஆராய்ச்சி ஒருபோதும் வழக்கறிஞர்களைச் சந்திக்காது.

பாதுகாப்பு ஆராய்ச்சி பொருளைப் பாதுகாப்பாக்குகிறது, மேலும் அறிக்கை தாக்குபவரை அடைவதற்கு முன்பே எங்களை அடைய வேண்டும் என்று நாங்கள் விரும்புகிறோம். நீங்கள் இந்தக் கொள்கையைப் பின்பற்றினால், நாங்கள்: உங்களது அறிக்கையை விரைவாக ஒப்புக்கொள்வோம், அதைப் புரிந்துகொண்டு சரிபார்க்க உங்களுடன் இணைந்து செயல்படுவோம், சரிசெய்யும் போது உங்களுக்குத் தகவல் தெரிவிப்போம், நீங்கள் விரும்பினால் உங்களுக்குக் கடன் கொடுப்போம் (credit), மற்றும் ஆராய்ச்சிக்காக உங்களுக்கு எதிரான சட்ட நடவடிக்கையைத் தொடரவோ அல்லது ஆதரிக்கவோ மாட்டோம். இந்த ஆவணத்தின் முக்கிய நோக்கம் கடைசி உறுதிமொழிதான், மேலும் பிரிவு 07 அதை விதிமுறைகளில் கூறுகிறது.

Email security@transglot.ai. Include what you found, where you found it, the steps to reproduce it, what an attacker could do with it, and anything that helps us confirm it: a request and response, a short video, a proof of concept. Tell us if you want to be credited and under what name. Write in English if you can. If you want to encrypt the report, ask in a first message and we will exchange a key. We also publish a security.txt file with the same address, so an automated scanner points at a mailbox a person reads.

ஒரு அறிக்கையை மூன்று வணிக நாட்களுக்குள் நாங்கள் ஏற்றுக்கொள்கிறோம். பத்து வணிக நாட்களுக்குள், அதை மீண்டும் உருவாக்க முடியுமா என்பது மற்றும் அதற்கு நாங்கள் வழங்கிய தரவரிசை ஆகியவை உள்ளிட்ட ஒரு ஆரம்ப மதிப்பீட்டை நாங்கள் வழங்குகிறோம். சரிசெய்யல் வெளியிடப்படும் போது உங்களுக்குத் தெரிவிப்போம்; உயர் அல்லது முக்கியமான பிரச்சனைக்கு, அதைச் சரிபார்த்த பிறகு பொதுவாக ஒன்பது நாட்களுக்குள் சரிசெய்யலை வெளியிடுவோம், ஆபத்து செயலில் இருந்தால் இன்னும் வேகமாகச் செயல்படுவோம். சரிசெய்யல் அதிக நேரம் எடுத்தால், தொடர்பைத் துண்டிக்காமல் காரணத்தை உங்களுக்குத் தெரிவிப்போம். பிரச்சனை குறித்து எதையும் வெளியிடுவதற்கு முன் உங்களுக்குத் தெரிவிப்போம், மேலும் உங்கள் அனுமதியின்றி உங்கள் பெயரை வெளியிட மாட்டோம்.

உங்கள் முதல் அறிக்கையிலிருந்து விவரங்களை வெளியிடுவதற்கு முன் எங்களுக்கு ஒன்பது நாட்கள் அவகாசம் தரவும்; சரிசெய்யல் மிகவும் சிக்கலானதாக இருந்தால் அல்லது வாடிக்கையாளர் நடவடிக்கை தேவைப்பட்டால், உடன்பாட்டின் பேரில் அதிக நேரம் எடுத்துக்கொள்ளலாம். பிரச்சனையை மறைக்க இந்தக் கால அவகாசத்தைப் பயன்படுத்த மாட்டோம்: உங்களுக்குத் தொடர்ந்து புதுப்பிப்புகளைத் தருவோம்; சரிசெய்ய முடியாவிட்டால் அதையும் தெரிவிப்போம்; கால அவகாசம் முடிந்த பிறகு வெளியீட்டிற்கு எதிர்ப்பு தெரிவிக்க மாட்டோம். ஒரு பிரச்சனை செயலில் சுரண்டப்படுகிறது என்றால், உடனடியாக எங்களுக்குத் தெரிவிக்கவும்; நாங்கள் அதே வேகத்தில் செயல்படுவோம். கூட்டு அறிவிப்பை ஒருங்கிணைப்பதற்கும், பொருத்தமான இடங்களில் CVE-க்காகக் கோருவதற்கும் நாங்கள் தயாராக உள்ளோம்.

எங்கள் சொந்த டொமைன்களில் உள்ள உற்பத்தி வலைப் பயன்பாடு மற்றும் மார்க்கெட்டிங் தளம், பொது REST API, டெலிவரி முனையம், இன்-காண்டெக்ஸ்ட் எடிட்டர் மற்றும் அதன் எம்பெட் மேற்பரப்புகள், எங்கள் வெளியிடப்பட்ட கிளையன்ட் தொகுப்புகள், எங்கள் வெப்ஹூக் டெலிவரி மற்றும் கையொப்பமிடல், எங்கள் அங்கீகாரம் மற்றும் ஒற்றை உள்நுழைவு (SSO) ஓட்டங்கள், மற்றும் இணையத்திலிருந்து அணுகக்கூடிய எங்கள் பொது உள்கட்டமைப்பு. பகிரப்பட்ட துல்லியமான-பொருத்த மொழிபெயர்ப்பு நினைவு குளம் அல்லது நேரடி தொகுதிகளில் வட்டு-நிலை குறியாக்கம் இல்லாமை போன்ற, வேண்டுமென்றே செய்யப்பட்ட வர்த்தகமாக நாங்கள் ஆவணப்படுத்திய வடிவமைப்பு முடிவுகள் குறித்த அறிக்கைகள் வாதிக்கப்படலாம், ஆனால் அவை பாதிப்புகள் அல்ல: ஒரு ஆராய்ச்சியாளர் நாங்கள் ஏற்கனவே வெளியிட்டுள்ள ஒன்றை நிரூபிக்க நேரத்தைச் செலவிடக்கூடாது என்பதற்காகவே அவை பாதுகாப்புப் பக்கத்தில் தெளிவாகக் குறிப்பிடப்பட்டுள்ளன.

எங்களால் இயக்கப்படாத எதுவும், வாடிக்கையாளரின் சொந்த வலைத்தளம், மூன்றாம் தரப்பு ஒருங்கிணைப்பு மற்றும் இணைப்பி மூலம் அணுகப்படும் எந்த அமைப்பும் உள்ளடங்கும். சேவை மறுப்பு, அளவு அல்லது வளச் சோர்வு சோதனைகள் மற்றும் மற்ற பயனர்களின் சேவையைக் குறைக்கும் எதையும் செய்யக்கூடாது. எங்கள் பணியாளர்கள், அலுவலகங்கள் அல்லது வழங்குநர்கள் மீதான சமூகப் பொறியியல், ஃபிஷிங் அல்லது உடல் ரீதியான முயற்சிகள். ஸ்பாம் மற்றும் பகுப்பாய்வு இல்லாமல் தானியங்கி ஸ்கேனர் மூலம் உருவாக்கப்பட்ட அறிக்கைகள். காணப்படாத சிறந்த நடைமுறை தலைப்பு, ஆக்கம் இல்லாத குக்கி கொடி, சுரண்டக்கூடிய பாதை இல்லாத காலாவதியான நூலகம், வரம்பை மீறியதன் மூலம் கண்டறியப்பட்ட விகித வரம்பு, சுய-ஏற்படுத்தப்பட்ட குறுக்கு-தள ஸ்கிரிப்டிங், உணர்திறன் செயல் இல்லாத பக்கத்தில் கிளிக்ஜாக்கிங் அறிக்கை, அல்லது இடைவெளியாக நாங்கள் ஏற்கனவே ஆவணப்படுத்திய பரந்த உள்ளடக்க பாதுகாப்புக் கொள்கையின் இன்மை ஆகியவை. பாதிக்கப்பட்டவரின் பூட்டப்படாத சாதனத்திற்கு உடல் ரீதியான அணுகல் தேவைப்படும் அல்லது பாதிக்கப்பட்டவரின் சொந்த இயந்திரத்தில் ரூட்-நிலை உடன்பாடு தேவைப்படும் பாதிப்புகள்.

உங்கள் ஆராய்ச்சியின் போது இந்தக் கொள்கையை நல்லெண்ணத்துடன் பின்பற்றினால், உங்கள் ஆராய்ச்சை அங்கீகரிக்கப்பட்டதாகக் கருதுவோம்; பிரச்சனையை விரைவாகப் புரிந்துகொண்டு தீர்க்க உங்களுடன் இணைந்து செயல்படுவோம்; கணினி தவறான பயன்பாடு, ஹேக்கிங் எதிர்ப்பு, சுற்றித் தவிர்த்தல் எதிர்ப்பு அல்லது ஒப்பந்தச் சட்டத்தின் கீழ் உங்கள் மீதான சட்ட நடவடிக்கையைப் பரிந்துரைக்கவோ அல்லது தொடரவோ மாட்டோம்; ஏற்றுக்கொள்ளத்தக்க பயன்பாட்டுக் கொள்கை அல்லது சேவை விதிமுறைகளின் கீழ் உங்கள் சோதனை மீறலாக இருந்தாலும் கூட. இந்தக் கொள்கையின் கீழ் நடத்தப்பட்ட ஆராய்ச்சைக்காக மூன்றாம் தரப்பு உங்கள் மீது நடவடிக்கை எடுத்தால், உங்கள் செயல்பாடுகள் அங்கீகரிக்கப்பட்டவை என்று நாங்கள் தெரிவிப்போம். இந்தப் பாதுகாப்பு எங்களுக்கு மட்டுமே உரியது: இது மூன்றாம் தரப்பு, மற்ற வாடிக்கையாளர் அல்லது வேறு யாரேனும் அமைப்புகளுக்கு எதிராகச் செயல்பட உங்களை அங்கீகரிக்காது.

உங்கள் சொந்த உள்நுழைவுகள் மற்றும் கணக்குகளை மட்டுமே பயன்படுத்தவும் அல்லது சோதனை செய்யத் தெளிவான அனுமதி பெற்றவற்றை மட்டுமே பயன்படுத்தவும்; மற்றவர்களின் வேலை இடத்தை ஆராய்வதற்குப் பதிலாக உங்கள் சொந்த இலவச வேலை இடத்தை உருவாக்கவும். உங்களுக்குச் சொந்தமில்லாத தரவை அணுகவோ, மாற்றவோ, நகலெடுக்கவோ, வெளியேற்றவோ அல்லது அழிக்கவோ வேண்டாம்; தவறுதலாக வாடிக்கையாளர் தரவைக் கண்டால், நிறுத்துங்கள், அதைச் சேமிக்க வேண்டாம், வெளிப்பாட்டை மதிப்பிட எங்கள் உதவிக்கு உடனடியாக நீங்கள் பார்த்ததைத் தெரிவிக்கவும். கிடைக்கும் தன்மையைக் குறைக்கவோ அல்லது சுமை, அழுத்தம் அல்லது சேவை மறுப்பு சோதனைகளை இயக்கவோ வேண்டாம். அதை நிரூபிக்கத் தேவையான அணுகலை மீறி அதிக அணுகலைப் பெற ஒரு கண்டறிதலைப் பயன்படுத்த வேண்டாம்; மேலும் நிலைத்தன்மையைப் பராமரிக்க வேண்டாம். மிரட்ட வேண்டாம்; வெளியீட்டைக் கட்டணத்திற்கு நிபந்தனையாக வைக்க வேண்டாம். பிரிவு 04 அனுமதிக்கும் முன் வெளியிட வேண்டாம். பொருந்தக்கூடிய சட்டங்கள் மற்றும் உங்களுக்குப் பொருந்தக்கூடிய ஏற்றுமதிக் கட்டுப்பாடு அல்லது தடைக் கட்டுப்பாடுகளுக்கு இணங்கவும்.

There is no paid bug bounty today. What we do offer is a fast, human response, credit in a public acknowledgement if you want it, a written reference for serious findings, and the safe harbour above. If we start a paid program we will publish the scope and the ranges here before we take the first submission.

உங்களது அறிக்கையைப் பெறுவதற்கான நிபந்தனையாக ரகசியக் காப்பு ஒப்பந்தத்தில் (non-disclosure agreement) கையெழுத்திட நாங்கள் கேட்க மாட்டோம், மேலும் உங்களை மௌனத்தில் கட்டுப்படுத்த அறிக்கைச் சமர்ப்பிப்புப் படிவத்தைப் பயன்படுத்த மாட்டோம். குறைந்த தீவிரம் அல்லது நகல் என்று தெரியவரும் அறிக்கைக்காக உங்களை மிரட்ட மாட்டோம். உங்களது வேலையாளர், பல்கலைக்கழகம் அல்லது தளத்திற்கு உங்களைப் பற்றி அறிக்கை செய்ய மாட்டோம். உங்களது தீவிரத் தரவரிசையுடன் நாங்கள் உடன்படாவிட்டால், நூலை (thread) மூடுவதற்குப் பதிலாக ஏன் என்று விளக்குவோம்.

பொருளைப் பயன்படுத்தும் போது பாதிப்பைக் கண்டறியும் வாடிக்கையாளர் இந்தக் கொள்கையாலும் அதன் பாதுகாப்பு இடைவெளியாலும் (safe harbour) பாதுகாக்கப்படுகிறார், மேலும் ஒன்றை அறிக்கை செய்வது ஏற்றுக்கொள்ளத்தக்க பயன்பாட்டுக் கொள்கையை (Acceptable Use Policy) மீறுவது அல்ல. அது வரிசையில் காத்திருக்காமல் சரியான நபர்களை அடைய, பொதுவான ஆதரவுக்குப் பதிலாக பாதுகாப்பு முகவரிக்கு அறிக்கை செய்க. உங்கள் சொந்த இறுதிப் பயனர்களுக்குச் (end users) சொந்தமான உற்பத்தித் தரவை (production data) பயன்படுத்திச் சோதிப்பதைத் தவிர்க்க முடிந்தால் தவிர்க்கவும்.

மதிப்பாய்வாளர் அல்லது ஆராய்ச்சியாளர் அவற்றைப் புரிதலின் போது அல்லாமல், எங்களிடமிருந்தே அறிந்துகொள்ளும் வகையில், நாங்கள் வேண்டுமென்றே உருவாக்காத விஷயங்களைப் பாதுகாப்புப் பக்கம் பெயரிடுகிறது: நேரடி தொகுதிகள் (live volumes) வட்டு-குறியாக்கம் (disk-encrypted) செய்யப்படவில்லை, ஆடிட் பதிவு (audit log) பயன்பாட்டு அடுக்கில் மட்டும் சேர்க்க-மட்டும் (append-only) ஆகும் மற்றும் எந்த ஹாஷ் சேன் அல்லது கையொப்பத்தையும் கொண்டிருக்கவில்லை, பரந்த உள்ளடக்கப் பாதுகாப்புக் கொள்கை இல்லை, மேலும் இன்று வரை எந்த மூன்றாம் தரப்பு பாதுகாப்புச் சான்றிதழையும் நாங்கள் வைத்திருக்கவில்லை. எங்களது இடைவெளிகளை வெளியிடுவது தொழில்துறையில் மிகவும் மலிவான நேர்மையாகும், இது அனைவருக்கும் ஒரு வாரத்தை மிச்சப்படுத்துகிறது.

பாதுகாப்பு அறிக்கைகள் மற்றும் இந்தக் கொள்கை குறித்த கேள்விகள் security@transglot.ai-க்கு அனுப்பப்பட வேண்டும். துஷ்பிரயோகம் மற்றும் பதிப்புரிமை உள்ளிட்ட பாதுகாப்புச் சிக்கல் அல்லாத எதையும் hello@transglot.ai-க்கு அனுப்பவும். தனியுரிமை மற்றும் தரவுப் பாதுகாப்பு privacy@transglot.ai-க்குச் செல்லும்.