Good faith research ay hindi kailanman tinutugunan ng mga abogado.

Ang security research ay nagpapaligtas ng produkto, at nais naming maabot kami ng report bago ito maabot ng mga attacker. Kung susundin mo ang patakarang ito, gagawin namin ang sumusunod: agad kilalanin ang iyong report, makipagtulungan sa iyo upang maunawaan at mapatunayan ito, ipaalam sa iyo ang progreso habang inaayos namin ito, bigyan ka ng kredito kung gusto mo, at hindi hahabulin o susuportahan ang legal action laban sa iyo dahil sa research. Ang huling pangakong ito ang layunin ng dokumentong ito, at binibigyang-diin ito ng clause 07.

Mag-email sa security@transglot.ai. Isama ang natuklasan mo, kung saan ito natagpuan, mga hakbang para ma-reproduce ito, kung ano ang maaaring gawin ng isang attacker gamit ito, at anumang makakatulong sa amin na makumpirma ito: request at response, maikling video, o proof of concept. Sabihin mo kung gusto mong bigyan ng kredito at sa ilalim ng anong pangalan. Sumulat sa Ingles kung kaya mo. Kung gusto mong i-encrypt ang report, humingi sa unang mensahe at magpapalitan tayo ng key. Naglalathala rin kami ng security.txt file na may parehong address, kaya ang automated scanner ay tumuturo sa mailbox na binabasa ng tao.

Kinikilala namin ang report sa loob ng tatlong araw ng negosyo. Nagbibigay kami ng paunang assessment, kabilang kung ma-reproduce namin ito at kung paano namin ito nirate, sa loob ng sampung araw ng negosyo. Ipapaalam namin sa iyo kung kailan ilalabas ang fix, at karaniwan naming nailalabas ang fix para sa high o critical issue sa loob ng siyamnapung araw pagkatapos mapatunayan ito, o mas mabilis kung aktibo ang risk. Kung matatagalan ang fix, ipaliwanag namin kung bakit sa halip na manahimik. Ipapaalam namin sa iyo bago kami mag-publish ng anumang detalye tungkol sa issue, at hindi namin ilalathala ang iyong pangalan nang hindi humihingi ng pahintulot.

Pakitangyan kami ng siyamnapung araw mula sa iyong unang report bago mag-publish ng mga detalye, at mas mahaba kung may kasunduan kung talagang kumplikado ang fix o kung kinakailangan ng customer na kumilos. Hindi namin gagamitin ang panahong ito upang itago ang issue: patuloy kaming magpapaalam sa iyo, at kung hindi namin maayos ito, ipapaalam din namin sa iyo, at hindi namin tutulan ang paglalathala kapag natapos na ang panahon. Kung aktibong pinagsasamantala ang isang issue, ipaalam agad sa amin at kikilos kami ayon sa bilis nito. Handa kaming koordinahan ang joint advisory at humiling ng CVE kung angkop ito.

Ang production web application at marketing site sa aming sariling domains, ang public REST API, ang delivery endpoint, ang in-context editor at ang mga embed surfaces nito, ang aming mga published client packages, ang webhook delivery at signing, ang aming authentication at single sign-on flows, at ang aming public infrastructure hangga't ma-access ito mula sa internet. Ang mga report tungkol sa design decision na dokumentado namin bilang sinadyang trade-off, tulad ng shared exact-match translation memory pool o kawalan ng disk-level encryption sa live volumes, ay welcome bilang argumento ngunit hindi ito vulnerabilities: nakasaad ito sa security page upang hindi gumugol ng oras ang researcher sa pagpapatunay ng bagay na alam nating inilathala na.

Anumang hindi pinapatakbo namin, kabilang ang website ng customer, third-party integration, at anumang system na na-access sa pamamagitan ng connector. Denial of service, volumetric o resource exhaustion testing, at anumang nakakaapekto sa serbisyo para sa ibang users. Social engineering, phishing, o pisikal na pag-atake sa aming staff, opisina, o suppliers. Spam, at mga report na gawa ng automated scanner na walang kasamang analysis. Mga findings na kulang lang sa best-practice header, cookie flag na walang demonstrable impact, outdated library na walang exploitable path, rate limit na natuklasan sa pamamagitan ng paglabag dito, self-inflicted cross-site scripting, clickjacking report sa page na walang sensitive action, o kawalan ng malawak na content security policy, na dokumentado na namin bilang gap. Mga vulnerability na nangangailangan ng pisikal na access sa unlocked device ng biktima, o root-level compromise ng machine ng biktima.

Kung gagawa ka ng good faith effort upang sumunod sa patakarang ito habang nagsasaliksik, ituturing namin ang iyong research na awtorisado, makikipagtulungan kami sa iyo upang maunawaan at malutas ang issue nang mabilis, at hindi namin irekomenda o hahabulin ang legal action laban sa iyo, kabilang sa ilalim ng computer misuse, anti-hacking, anti-circumvention o contract law, at kabilang ang anumang claim sa ilalim ng Acceptable Use Policy o Terms of Service na maaaring labagin ng iyong testing. Kung may third party na magsampa ng kaso laban sa iyo dahil sa research na ginawa sa ilalim ng patakarang ito, ipapaalam namin na awtorisado ang iyong mga aktibidad. Ang safe harbour na ito ay limitado sa amin: hindi nito pinapahintulutan o awtorisahang kumilos laban sa third party, ibang customer, o sistema ng iba.

Gumamit lamang ng mga login at Account na ikaw ang may-ari o may explicit permission na subukan, at lumikha ng sarili mong free workspace sa halip na suriin ang sa iba. Huwag i-access, baguhin, kopyahin, iluwas, o sirain ang data na hindi sa iyo, at kung aksidenteng makatagpo ka ng customer data, huminto, huwag itong i-save, at agad ipaalam sa amin kung ano ang nakita mo upang masuri namin ang exposure. Huwag bawasan ang availability o magsagawa ng load, stress, o denial of service tests. Huwag gamitin ang finding upang kumuha ng higit pa sa access na kailangan mo para ipakita ito, at huwag panatilihin ang persistence. Huwag mang-extort, at huwag kondisyunan ang paglalathala sa pagbabayad. Huwag mag-publish bago payagan ng clause 04. Sumunod sa nababagong batas at sa anumang export control o sanctions restriction na naaangkop sa iyo.

Wala pang paid bug bounty ngayon. Ang inaalok namin ay mabilis at personal na tugon, kredito sa public acknowledgement kung gusto mo, written reference para sa seryosong findings, at ang safe harbour na nabanggit. Kung magsisimula kami ng paid program, ilalathala namin ang scope at mga range dito bago tanggapin ang unang submission.

Hindi namin hihilingin sa iyo na pumirma ng non-disclosure agreement bilang kondisyon ng pagtanggap ng iyong ulat, at hindi namin gagamitin ang form ng pagsumite ng ulat bilang paraan upang talian ka sa katahimikan. Hindi namin bantaan ka para sa ulat na lumabas na mababa ang severity o duplicate. Hindi namin ire-report ka sa iyong employer, iyong university o platform. Kung hindi kami sang-ayon sa iyong rating ng severity, ipapaliwanag namin kung bakit sa halip na isara ang thread.

Ang customer na nakakita ng kahinaan habang ginagamit ang produkto ay sakop ng patakarang ito at ng safe harbour nito, at ang pag-uulat nito ay hindi kailanman paglabag sa Acceptable Use Policy. I-ulat ito sa security address sa halip na sa pamamagitan ng ordinaryong support, upang maabot nito ang tamang mga tao nang hindi nakakaupo sa queue. Huwag gumamit ng production data na pag-aari ng iyong sariling end users kung maiiwasan mo.

Ang security page ay naglilista ng mga bagay na sinadya naming hindi pa ginawa, upang malaman ito ng mga reviewer o researcher mula sa amin kaysa sa kanilang sariling pagsusuri: ang live volumes ay walang disk encryption, ang audit log ay append-only sa application layer at walang hash chain o signature, walang malawak na content security policy, at wala pa kaming third-party security certification. Ang paglalathala ng aming mga kakulangan ay pinakamura at tapat na gawi sa industriya, at nakakatipid ito ng isang linggo para sa lahat.

Ang mga security report at katanungan tungkol sa patakarang ito ay ipadala sa security@transglot.ai. Ang anumang hindi security issue, kabilang ang abuse at copyright, ay ipadala sa hello@transglot.ai. Ang mga usaping privacy at data protection ay ipadala sa privacy@transglot.ai.