การวิจัยด้วยความสุจริต ไม่เคยพบกับทนายความ

การวิจัยด้านความปลอดภัยทำให้ผลิตภัณฑ์ปลอดภัยขึ้น และเราต้องการให้รายงานมาถึงเราก่อนที่จะถึงมือผู้โจมตี หากคุณปฏิบัติตามนโยบายนี้ เราจะ: ตอบรับรายงานของคุณอย่างรวดเร็ว ทำงานร่วมกับคุณเพื่อทำความเข้าใจและยืนยันปัญหา แจ้งความคืบหน้าระหว่างที่เราแก้ไข ให้เครดิตคุณหากคุณต้องการ และไม่ดำเนินหรือสนับสนุนการดำเนินการทางกฎหมายต่อคุณจากการวิจัยดังกล่าว คำมั่นสุดท้ายนี้เป็นหัวใจสำคัญของเอกสารนี้ และข้อ 07 ได้ระบุรายละเอียดไว้

Email security@transglot.ai. Include what you found, where you found it, the steps to reproduce it, what an attacker could do with it, and anything that helps us confirm it: a request and response, a short video, a proof of concept. Tell us if you want to be credited and under what name. Write in English if you can. If you want to encrypt the report, ask in a first message and we will exchange a key. We also publish a security.txt file with the same address, so an automated scanner points at a mailbox a person reads.

We acknowledge a report within three business days. We give an initial assessment, including whether we can reproduce it and how we have rated it, within ten business days. We tell you when a fix ships and we will normally have shipped one for a high or critical issue within ninety days of validating it, faster where the risk is active. If a fix is going to take longer we tell you why rather than going quiet. We will tell you before we publish anything about the issue, and we will not publish your name without asking.

โปรดให้เวลาเราเก้าสิบวันนับจากรายงานแรกของคุณก่อนเผยแพร่รายละเอียด และอาจนานกว่านั้นหากตกลงร่วมกันเนื่องจากการแก้ไขมีความซับซ้อนจริงๆ หรือต้องการให้ลูกค้าดำเนินการ หากมีการ exploited อย่าง aktif ให้แจ้งเราทันทีแล้วเราจะเร่งดำเนินการตามความเร่งด่วนนั้น เรายินดีประสานงานประกาศร่วมและขอ CVE เมื่อเหมาะสม

แอปพลิเคชันเว็บ production และไซต์การตลาดบนโดเมนของเราเอง, REST API สาธารณะ, จุดส่งมอบ, ตัวแก้ไขในบริบทและพื้นผิวฝังตัว, แพ็คเกจไคลเอนต์ที่เผยแพร่, การส่ง webhook และการลงนาม, โฟลว์การยืนยันตัวตนและ single sign-on, และโครงสร้างพื้นฐานสาธารณะที่สามารถเข้าถึงได้จากอินเทอร์เน็ต รายงานเกี่ยวกับการตัดสินใจออกแบบที่เราได้บันทึกไว้ว่าเป็นการแลกเปลี่ยนโดยเจตนา เช่น pool หน่วยความจำการแปลแบบ exact-match ร่วมกัน หรือการขาดการเข้ารหัสระดับดิสก์บนปริมาณข้อมูล live ยินดีรับฟังเป็นข้อโต้แย้งแต่ไม่ถือเป็นช่องโหว่: สิ่งเหล่านี้ถูกระบุไว้ในหน้าความปลอดภัยเพื่อให้นักวิจัยไม่ต้องเสียเวลาพิสูจน์สิ่งที่เราเผยแพร่อยู่แล้ว

Anything not operated by us, including a customer’s own website, a third party integration and any system reached through a connector. Denial of service, volumetric or resource exhaustion testing, and anything that degrades the service for other users. Social engineering, phishing, or physical attempts against our staff, our offices or our suppliers. Spam, and reports generated by an automated scanner with no analysis attached. Findings that are only a missing best-practice header, a cookie flag with no demonstrated impact, an outdated library with no exploitable path, a rate limit you found by exceeding it, a self-inflicted cross-site scripting, a clickjacking report on a page with no sensitive action, or the absence of a broad content security policy, which we already document as a gap. Vulnerabilities requiring physical access to a victim’s unlocked device, or requiring a root-level compromise of the victim’s own machine.

หากคุณพยายามปฏิบัติตามนโยบายนี้ด้วยความสุจริตระหว่างการวิจัย เราจะถือว่าการวิจัยของคุณได้รับอนุญาต เราจะทำงานร่วมกับคุณเพื่อทำความเข้าใจและแก้ไขปัญหาอย่างรวดเร็ว และจะไม่แนะนำหรือดำเนินคดีทางกฎหมายต่อคุณ รวมถึงภายใต้กฎหมายการใช้คอมพิวเตอร์ในทางมิชอบ กฎหมายต่อต้านการแฮ็ก กฎหมายต่อต้านการหลีกเลี่ยงมาตรการป้องกัน หรือกฎหมายสัญญา และรวมถึงข้อเรียกร้องใดๆ ภายใต้_policy การใช้งานที่ยอมรับได้หรือข้อกำหนดการให้บริการที่การทดสอบของคุณอาจละเมิด หากบุคคลที่สามฟ้องร้องคุณจากการวิจัยภายใต้โยบายนี้ เราจะแจ้งให้ทราบว่ากิจกรรมของคุณได้รับอนุญาต Safe harbour นี้จำกัดเฉพาะเรา: ไม่สามารถและไม่อนุญาตให้คุณดำเนินการต่อบุคคลที่สาม ลูกค้ารายอื่น หรือระบบของผู้อื่น

ใช้เฉพาะบัญชีเข้าสู่ระบบและ Accounts ที่เป็นของคุณหรือได้รับอนุญาตอย่างชัดเจนให้ทดสอบ และสร้าง workspace ฟรีของคุณเองแทนที่จะ probing ของผู้อื่น อย่าเข้าถึง แก้ไข คัดลอก นำออก หรือทำลายข้อมูลที่ไม่ใช่ของคุณ และหากคุณพบข้อมูลลูกค้าโดยบังเอิญ ให้หยุด อย่าบันทึก และแจ้งเราทันทีว่าคุณเห็นอะไรเพื่อให้เราประเมินการเปิดเผย อย่าทำให้ความพร้อมใช้งานลดลงหรือทำการทดสอบโหลด ความเครียด หรือปฏิเสธการให้บริการ อย่าใช้ผลลัพธ์เพื่อเข้าถึงมากกว่าที่จำเป็นสำหรับการสาธิต และอย่าคงสถานะ persistence อย่าเรียกค่าไถ่ และอย่ากำหนดเงื่อนไขการเปิดเผยด้วยการชำระเงิน อย่าเผยแพร่ก่อนที่ข้อ 04 จะอนุญาต ปฏิบัติตามกฎหมายที่ใช้บังคับและข้อจำกัดด้านการควบคุมการส่งออกหรือคว่ำบาตรที่ใช้กับคุณ

ปัจจุบันไม่มีโปรแกรม bug bounty แบบจ่ายเงิน สิ่งที่เราเสนอคือการตอบสนองที่รวดเร็วและเป็นมนุษย์ การให้เครดิตในการยอมรับสาธารณะหากคุณต้องการ จดหมายอ้างอิงสำหรับการค้นพบที่สำคัญ และ safe harbour ข้างต้น หากเราเริ่มโปรแกรมแบบจ่ายเงิน เราจะเผยแพร่ขอบเขตและช่วงรางวัลที่นี่ก่อนรับการส่งครั้งแรก

เราจะไม่ขอให้คุณลงนามในข้อตกลงไม่เปิดเผยข้อมูล (NDA) เป็นเงื่อนไขในการรับรายงานของคุณ และเราจะไม่ใช้แบบฟอร์มส่งรายงานเพื่อผูกมัดคุณให้ต้องรักษาความลับ เราจะไม่ข่มขู่คุณหากรายงานนั้นมีความรุนแรงต่ำหรือเป็นรายงานซ้ำ เราจะไม่แจ้งนายจ้าง มหาวิทยาลัย หรือแพลตฟอร์มที่คุณเกี่ยวข้อง หากคุณไม่เห็นด้วยกับการประเมินระดับความรุนแรงของเรา เราจะอธิบายเหตุผลแทนที่จะปิดการสนทนา

ลูกค้าที่พบช่องโหว่ขณะใช้งานผลิตภัณฑ์จะได้รับความคุ้มครองตามนโยบายนี้และภายใต้หลัก safe harbour และการรายงานช่องโหว่ไม่ถือเป็นการละเมิดนโยบายการใช้งานที่ยอมรับได้ โปรดรายงานไปยังที่อยู่ด้านความปลอดภัยแทนที่จะผ่านช่องทางสนับสนุนทั่วไป เพื่อให้เรื่องไปถึงผู้รับผิดชอบโดยตรงโดยไม่ต้องรอในคิว หลีกเลี่ยงการทดสอบด้วยข้อมูลจริงของผู้ใช้งานปลายทางของคุณหากเป็นไปได้

หน้าความปลอดภัยระบุสิ่งที่เราจงใจไม่ได้สร้างขึ้น เพื่อให้ผู้ตรวจสอบหรือนักวิจัยทราบจากเราโดยตรงแทนที่จะต้องค้นหาเองระหว่างการตรวจสอบความละเอียดรอบคอบ: ปริมาณข้อมูลแบบ live ไม่ได้เข้ารหัสระดับดิสก์ บันทึกการตรวจสอบเป็นแบบ append-only เฉพาะในชั้นแอปพลิเคชันและไม่มี hash chain หรือลายเซ็น ไม่มีนโยบายความปลอดภัยเนื้อหา (content security policy) ในวงกว้าง และปัจจุบันเราไม่มีการรับรองความปลอดภัยจากบุคคลที่สาม การเปิดเผยช่องว่างของเราเองคือความซื่อสัตย์ที่คุ้มค่าที่สุดและช่วยประหยัดเวลาให้ทุกคนได้หนึ่งสัปดาห์

รายงานด้านความปลอดภัยและคำถามเกี่ยวกับนโยบายนี้ส่งไปที่ security@transglot.ai เรื่องอื่นๆ ที่ไม่ใช่ปัญหาความปลอดภัย รวมถึงการละเมิดและลิขสิทธิ์ ส่งไปที่ hello@transglot.ai ส่วนเรื่องความเป็นส่วนตัวและการปกป้องข้อมูลส่งไปที่ privacy@transglot.ai