Sorumlu ifşa politikası

Para taşıyan bir hizmet, ister iyi niyetli ister başka türlü insanlar tarafından olsun, her zaman test edilir. Bir kusuru bir olaydan değil de bir rapordan öğrenmeyi tercih ederiz ve burada açıklanan kapsam dahilinde iyi niyetle yürütülen araştırmalar için kimseyi takip etmeyeceğimizi taahhüt ederiz.

Bu aşamada hiçbir maddi ödül sunulmamaktadır. Yerine getiremeyeceğimiz bir ödül programı duyurmuyoruz. Sunduğumuz şey somuttur: hızlı bir onay, teknik bir muhatap, düzeltmeye kadar takip ve isterseniz kamuya açık itibar.

Kapsam dahilinde

• Genel site ve uygulama sayfaları.
• Genel olarak açıkta olan programlama arayüzü uç noktaları.
• Kimlik doğrulama, oturum ve parola sıfırlama mekanizmaları.
• Başka bir kullanıcının verilerinin okunmasına, değiştirilmesine veya yönlendirilmesine yol açan her türlü kusur.
• Bir tutarın, alıcının, oranın veya emir durumunun değiştirilmesine izin veren her türlü kusur.
• Bir sırrı, yedeği veya dahili ortamı açığa çıkaran yapılandırma hataları.

Kapsam dışında

• Satıcılarımızın kendi hizmetleri: bunları doğrudan kendi programını yürüten ilgili yayıncıya bildirin.
• İstismar edilebilirlik kanıtı olmayan otomatik bir tarayıcı tarafından üretilen raporlar.
• Gösterilmiş bir etkisi olmayan başlık veya yapılandırma bulguları — eksik bir önerilen başlık, genel içerikte bir özniteliği olmayan bir çerez.
• Personelimize, satıcılarımıza veya kullanıcılarımıza yönelik sosyal mühendislik.
• Herhangi bir biçimde hizmet reddi, taşkın ve yük testi.
• Zaten ele geçirilmiş bir cihaza fiziksel erişim gerektiren güvenlik açıkları.

Bu kurallar formalite değildir: takip etmeme taahhüdümüzün kapsadığı şeyi tam olarak tanımlarlar.

1. Yalnızca kendi hesaplarınızı ve kendi verilerinizi kullanın. Kullanıcılar arasındaki izolasyonu test etmeniz gerekiyorsa ikinci bir hesap oluşturun.
2. Erişim gösterilir gösterilmez durun. Üçüncü bir tarafa ait verileri okumayın, kopyalamayın veya dışarı sızdırmayın.
3. Hizmeti bozmayın: kendi verileriniz dışında taşkın, silme veya üretim verilerini değiştirme yok.
4. Kusuru düzeltilmeden veya birlikte kararlaştırdığımız son tarih dolmadan kamuya açıklamayın.
5. İstemeden kişisel verilere ulaşırsanız, derhal durun, bunları saklamayın ve raporunuzda belirtin.

Yararlı bir rapor beş öğe içerir: etkilenen bileşen, gerçek etki, yeniden üretim adımları, asgari bir kanıt parçası ve testlerinizin zaman damgaları. Gerisi konfordur.

Bir rapora asla üçüncü bir tarafa ait kişisel veriler, gerçek bir tanımlayıcı veya eksiksiz bir sır eklemeyin. Erişimi göstermek için kısmen karartılmış bir ekran görüntüsü yeterlidir.

Ardından, kapanışa kadar en az iki haftada bir durum güncellemesi alırsınız, duyurulacak yeni bir şey olmasa bile. Sessizlik, bir araştırmacıyı yayın yapmaya iten şeydir: bundan kaçınmayı tercih ederiz.

• Düzeltmeyi onaylarız ve kapanıştan önce doğrulamanıza izin veririz.
• Kusurun verileri ifşa etmiş olabileceği durumlarda, istismar bulunmasa bile bir olay notu yayınlarız.
• İsterseniz sizi herkese açık şekilde, seçtiğiniz isim veya kullanıcı adıyla anarız; anonim kalmayı tercih ederseniz hiç anmayız.
• Kendi analizinizi yazmak isterseniz sizinle bir yayın tarihi üzerinde anlaşırız.