善意研究 絕不會遭遇律師函。

安全性研究能讓產品更安全，而我們希望報告在送達攻擊者之前先送到我們手中。若您遵循本政策，我們將：迅速確認您的報告、與您合作了解並驗證問題、在修復過程中隨時向您通報、在您願意時給予致謝，並且不會因您的研究行為對您採取或支持法律行動。最後這項承諾是本文件的重點，第 07 條條款已明確說明。

請寄送電子郵件至 security@transglot.ai。內容請包含您發現的問題、發現位置、重現步驟、攻擊者可能利用的方式，以及任何有助於我們確認問題的資訊：例如請求與回應、簡短影片或概念驗證。若您希望獲得致謝，請告知我們您希望使用的名稱。若有可能，請以英文撰寫。若您希望加密報告，請在第一封郵件中提出，我們將交換金鑰。我們也發布了包含相同地址的 security.txt 檔案，因此自動化掃描器會指向由人員讀取的信箱。

我們會在三個工作天內確認收到報告。我們會在十個工作天內提供初步評估，包括是否能夠重現問題以及我們評定的嚴重等級。當修復方案發布時，我們會通知您；對於高風險或關鍵問題，我們通常會在驗證後的九十天內發布修復方案，若風險正在發生則會更快。如果修復需要更長時間，我們會說明原因而非保持沉默。在發布任何關於該問題的資訊之前，我們會先告知您，並且在未徵得您同意前不會公開您的姓名。

請在您首次回報後的九十天內不要公開詳細資訊，若修復確實複雜或需要客戶配合，經雙方同意可延長期限。我們不會利用這段時間掩蓋問題：我們會隨時向您更新進度，如果無法修復也會如实告知，並且在期限過後不會反對您公開資訊。若問題正遭到主動利用，請立即告訴我們，我們將加速處理。我們樂意協調聯合公告，並在適當時協助申請 CVE。

我們自有網域上的生產環境 Web 應用程式和行銷網站、公開 REST API、交付端點、情境編輯器及其嵌入介面、我們發布的用戶端套件、Webhook 交付與簽章、身分驗證與單一登入流程，以及可從網際網路存取的公開基礎設施。關於我們已記錄為刻意取捨的設計決策（例如共用完全相符翻譯記憶庫池，或即時磁碟區缺乏磁碟級加密）的報告，歡迎作為論點提出，但不視為漏洞：這些已在安全性頁面上明確說明，以免研究人員花費整個下午證明我們已公開的事項。

任何非由我們營運的服務，包括客戶自己的網站、第三方整合以及透過連接器存取的任何系統。拒絕服務、體積性或資源耗盡測試，以及任何導致其他使用者服務降級的行為。針對我們的員工、辦公室或供應商的社會工程、網路釣魚或實體攻擊嘗試。垃圾訊息，以及未附帶分析結果的自動化掃描器產生的報告。僅缺少最佳實踐標頭、無實際影響的 Cookie 旗標、無可利用路徑的過時函式庫、透過超過限制發現的速率限制、自我引發的跨站腳本攻擊、在無敏感操作的頁面上的點擊劫持報告，或我們已記錄為不足之處的廣泛內容安全政策缺失。需要實體存取受害者未鎖定裝置，或需要根層級妥協受害者自身機器的漏洞。

若您在研究過程中善意地努力遵守本政策，我們將視您的研究為已授權，並與您合作快速了解和解決問題，且不會建議或對您採取法律行動，包括依據電腦濫用、反駭客、反規避或契約法，以及任何根據可接受使用政策或服务條款可能因您的測試而違約的主張。若第三方因您根據本政策進行的研究對您提起訴訟，我們將表明您的活動已獲授權。此安全港僅限於我們：它不能也不授權您對第三方、其他客戶或任何其他系統採取行動。

僅使用您擁有或已獲得明確許可測試的登入帳號和帳戶，並建立自己的免費工作區，而非探查他人的工作區。請勿存取、修改、複製、洩漏或毀損不屬於您的資料，若意外遇到客戶資料，請立即停止、不要儲存，並立刻告訴我們您所見的內容，以便我們評估暴露情況。請勿降低可用性或執行負載、壓力或拒絕服務測試。請勿利用發現的問題獲取超出示範所需的更多存取權限，也不要維持持久性存取。請勿勒索，也不要將揭露與付款掛鉤。在第 04 條允許之前請勿公開。請遵守適用法律以及適用於您的任何出口管制或制裁限制。

目前沒有付費的錯誤賞金計劃。我們提供的是快速的人工回應、在您願意時於公開致謝中署名、針對重大發現提供書面推薦信，以及上述的安全港保護。若我們啟動付費計劃，將在接受第一份提交之前在此公布範圍和獎金區間。

我們不會要求您簽署保密協議作為接收報告的條件，也不會利用報告提交表格來約束您保持沉默。對於結果顯示為低嚴重性或重複的報告，我們不會威脅您。我們不會向您的雇主、大學或平台舉報您。如果我們不同意您的嚴重性評級，我們將解釋原因，而不是關閉討論串。

在使用產品時發現漏洞的客戶受本政策及其安全港保護，回報漏洞絕不違反《可接受使用政策》。請將漏洞回報至安全性電子郵件地址，而非透過一般支援管道，以便直接送達相關人員，避免在佇列中等待。如果可以避免，請勿使用屬於您最終用戶的生產資料進行測試。

安全性頁面列出了我們刻意未建置的功能，以便審查者或研究人員直接從我們這裡得知，而非在盡職調查中才發現：即時磁碟區未進行磁碟加密、稽核日誌僅在應用程式層支援附加寫入且不含雜湊鏈或簽章、沒有廣泛的內容安全政策，而且我們目前未持有任何第三方安全性認證。公開我們的不足之處是業界中最廉價的誠實表現，也能為每個人節省一週的時間。

安全性報告及關於本政策的問題請寄至 security@transglot.ai。任何非安全性議題（包括濫用和版權問題）請寄至 hello@transglot.ai。隱私權與資料保護相關事項請寄至 privacy@transglot.ai。