İyi niyetli araştırma asla avukatlarla karşılanmaz.

Güvenlik araştırmaları ürünü daha güvenli hale getirir ve raporun bir saldırgana ulaşmadan önce bize ulaşmasını isteriz. Bu politikaya uyarsanız: raporunuzu hızla kabul ederiz, anlamak ve doğrulamak için sizinle iş birliği yaparız, düzeltme sırasında sizi bilgilendiririz, isterseniz size atıfta bulunuruz ve araştırma nedeniyle size karşı hukuki işlem başlatmayız veya desteklemeyiz. Bu son taahhüt, bu belgenin temel amacıdır ve 07. madde bunu şartlara bağlar.

security@transglot.ai adresine e-posta gönderin. Ne bulduğunuzu, nerede bulduğunuzu, yeniden üretme adımlarını, bir saldırganın bununla ne yapabileceğini ve onaylamamıza yardımcı olan her şeyi (bir istek ve yanıt, kısa bir video, kanıt kavramı) ekleyin. Atıfta bulunulup bulunulmayacağını ve hangi isimle olacağını belirtin. Mümkünse İngilizce yazın. Raporu şifrelemek istiyorsanız, ilk mesajda isteyin ve anahtar değişimi yapalım. Ayrıca aynı adresi içeren bir security.txt dosyası yayınlıyoruz, böylece otomatik tarayıcılar bir kişinin okuduğu bir posta kutusuna yönlendiriliyor.

Bir raporu üç iş günü içinde kabul ediyoruz. On gün içinde, yeniden üretebilip üretemediğimiz ve nasıl derecelendirdiğimiz dahil olmak üzere ilk değerlendirmemizi iletiyoruz. Düzeltme yayınlandığında sizi bilgilendiriyoruz ve yüksek veya kritik bir sorun için doğrulamadan sonra genellikle doksan gün içinde düzeltme yayınlıyoruz; risk aktifse daha hızlı hareket ediyoruz. Düzeltme daha uzun sürecekse, sessiz kalmak yerine nedenini açıklıyoruz. Sorun hakkında herhangi bir şey yayınlamadan önce sizi bilgilendiriyoruz ve izniniz olmadan adınızı yayınlamıyoruz.

Lütfen ayrıntıları yayınlamadan önce ilk raporunuzdan itibaren doksan gün tanıyın ve düzeltme gerçekten karmaşıksa veya bir müşterinin harekete geçmesini gerektiriyorsa anlaşma yoluyla bu süreyi uzatın. Bu süreyi sorunu gizlemek için kullanmayacağız: sizi güncel tutacağız, düzeltemezsek bunu da söyleyeceğiz ve süre dolduğunda yayına itiraz etmeyeceğiz. Bir sorun aktif olarak istismar ediliyorsa, derhal bize bildirin; biz de o hıza göre hareket edeceğiz. Ortak bir danışmanlık koordinasyonu yapmaktan ve uygun olduğunda CVE talep etmekten memnuniyet duyarız.

Kendi alan adlarımızdaki üretim web uygulaması ve pazarlama sitesi, genel REST API, teslimat uç noktası, bağlamsal düzenleyici ve gömme yüzeyleri, yayınladığımız istemci paketleri, webhook teslimatı ve imzalama, kimlik doğrulama ve tek oturum açma akışları ve internetten erişilebilen haliyle genel altyapımız. Kasıtlı bir ödünleşim olarak belgelediğimiz bir tasarım kararı hakkındaki raporlar (paylaşılan tam eşleşmeli çeviri belleği havuzu veya canlı birimlerde disk düzeyi şifreleme olmaması gibi) güvenlik açığı değildir; bunlar, bir araştırmacının zaten yayınladığımız bir şeyi kanıtlamak için öğleden sonrasını harcamaması için güvenlik sayfasında açıkça belirtilmiştir.

Bizim işletmediğimiz her şey; buna müşterinin kendi web sitesi, üçüncü taraf entegrasyonları ve bir konektör üzerinden erişilen herhangi bir sistem dahildir. Hizmet reddi, hacimsel veya kaynak tükenmesi testleri ve hizmetin diğer kullanıcılar için düşmesine neden olan her türlü eylem. Personelimiz, ofislerimiz veya tedarikçilerimize karşı sosyal mühendislik, oltalama veya fiziksel girişimler. İstenmeyen mesajlar (spam) ve yanında analiz bulunmayan otomatik tarayıcı tarafından oluşturulan raporlar. Yalnızca eksik bir en iyi uygulama başlığı, kanıtlanmış etkisi olmayan bir çerez bayrağı, sömürülebilir yolu bulunmayan eski bir kütüphane, aşarak bulduğunuz bir hız sınırı, kendi kendine neden olunan siteler arası komut dosyası çalıştırma (XSS), hassas işlem içermeyen bir sayfadaki tıklama hırsızlığı raporu veya zaten bir açık olarak belgelediğimiz geniş bir içerik güvenlik politikasının yokluğu gibi bulgular. Mağdurun kilidi açılmış cihazına fiziksel erişim gerektiren veya mağdurun kendi makinesinde kök düzeyinde bir uzlaşma gerektiren güvenlik açıkları.

Araştırmanız sırasında bu politikaya iyi niyetle uymanız durumunda, araştırmanızı yetkili kabul edeceğiz, sorunu hızlıca anlayıp çözmeniz için sizinle iş birliği yapacağız ve bilgisayarın kötüye kullanımı, siber saldırı karşıtı, koruma aşma karşıtı veya sözleşme hukuku kapsamında da dahil olmak üzere size karşı yasal işlem önermeyecek veya yürütmeyeceğiz; ayrıca testinizin aksi takdirde ihlal edeceği Kabul Edilebilir Kullanım Politikası veya Hizmet Şartları kapsamındaki herhangi bir iddiayı da içerecektir. Bu politika kapsamında yapılan araştırmalar nedeniyle bir üçüncü taraf size karşı dava açarsa, faaliyetlerinizin yetkili olduğunu beyan edeceğiz. Bu güvenli liman yalnızca bizimle sınırlıdır: sizi bir üçüncü tarafa, başka bir müşteriye veya başka kişilerin sistemlerine karşı hareket etmeye yetkilendiremez ve etmez.

Yalnızca sahibi olduğunuz veya test etmek için açık izniniz bulunan giriş bilgilerini ve Hesapları kullanın ve başkasının sistemini araştırmak yerine kendi ücretsiz çalışma alanınızı oluşturun. Size ait olmayan verilere erişmeyin, değiştirmeyin, kopyalamayın, dışarı çıkarmayın veya imha etmeyin; yanlışlıkla müşteri verileriyle karşılaşırsanız durun, kaydetmeyin ve maruziyeti değerlendirebilmemiz için ne gördüğünüzü derhal bize bildirin. Kullanılabilirliği düşürmeyin ve yük, stres veya hizmet reddi testleri çalıştırmayın. Bir bulguyu göstermek için ihtiyaç duyduğunuzdan daha fazla erişim elde etmek için kullanmayın ve kalıcılık sağlamayın. Şantaj yapmayın ve ifşayı ödemeye koşullandırmayın. 04. madde izin vermeden önce yayınlamayın. Uygulanan yasalarla ve size uygulanan ihracat kontrolü veya yaptırım kısıtlamalarıyla uyumlu olun.

Şu anda ücretli bir hata avcılığı programı bulunmamaktadır. Bunun yerine sunduklarımız şunlardır: hızlı ve insani bir yanıt, istemeniz halinde herkese açık bir teşekkürde adınızın geçmesi, ciddi bulgular için yazılı referans ve yukarıda belirtilen güvenli liman güvencesi. Ücretli bir program başlatırsak, ilk bildirimi almadan önce kapsamı ve ödül aralıklarını burada yayınlayacağız.

Raporunuzu almak için gizlilik sözleşmesi imzalamanızı istemeyeceğiz ve rapor gönderim formunu sizi sessizliğe zorlamak için kullanmayacağız. Düşük önem derecesine sahip veya tekrar eden bir rapor nedeniyle sizi tehdit etmeyeceğiz. Sizi işvereninize, üniversitenize veya bir platforma şikayet etmeyeceğiz. Önem derecesi değerlendirmenize katılmazsak, konuyu kapatmak yerine nedenini açıklayacağız.

Ürünü kullanırken bir güvenlik açığı bulan bir müşteri, bu politika ve güvenli liman hükümleri kapsamında korunur ve böyle bir açığı bildirmek asla Kabul Edilebilir Kullanım Politikası'nın ihlali değildir. Sıradaki destek kuyruğunda beklemek yerine doğru kişilere ulaşması için bunu güvenlik adresine bildirin. Mümkünse kendi son kullanıcılarınıza ait üretim verileriyle test yapmaktan kaçının.

Güvenlik sayfasında, bir inceleyicinin veya araştırmacının bunları titizlikle keşfetmek yerine doğrudan bizden öğrenmesi amacıyla, kasıtlı olarak inşa etmediğimiz şeyler belirtilir: canlı birimler disk düzeyinde şifrelenmemiştir, denetim günlüğü uygulama katmanında yalnızca ekleme yapılabilir niteliktedir ve karma zinciri veya imza taşımaz, geniş kapsamlı bir içerik güvenlik politikası bulunmamaktadır ve şu anda üçüncü taraf bir güvenlik sertifikasına sahip değiliz. Kendi eksikliklerimizi yayınlamak, iş dünyasındaki en ucuz dürüstlük biçimidir ve herkesin bir haftasını kazandırır.

Güvenlik raporları ve bu politika hakkındaki sorular security@transglot.ai adresine gönderilir. Kötüye kullanım ve telif hakkı dahil olmak üzere güvenlik sorunu olmayan her şey hello@transglot.ai adresine gider. Gizlilik ve veri koruma konuları privacy@transglot.ai adresine yöneltilir.