Bắt lỗi chúng tôi — nhận thưởng.
Chương trình của riêng chúng tôi. Chúng tôi tiếp nhận hai loại phát hiện: các lỗ hổng kinh điển (nhánh A) và các phản bác báo cáo bảo mật của chúng tôi (nhánh B). Các mức chi thưởng dùng chung cho cả hai; phần thưởng được cộng vào số dư nền tảng của bạn.
Nơi bạn có thể săn lỗi.
Trong phạm vi
- createyourvpn.com và api.createyourvpn.com
- các tên miền cửa hàng của riêng bạn
- một máy chủ thử nghiệm được chỉ định rõ ràng
Ngoài phạm vi
- máy chủ và dữ liệu của các đối tác và người dùng cuối
- tấn công từ chối dịch vụ / kiểm thử gây tải
- tấn công phi kỹ thuật, spam, lừa đảo (phishing)
- truy cập vật lý
Việc kiểm thử chủ động chỉ được phép trên bàn thử preprod (pp.*), nên việc săn lỗi không bao giờ đụng tới các đối tác đang hoạt động hay người dùng của họ. Những vấn đề đồng thời ảnh hưởng tới production vẫn được tính — chỉ cần tái lập chúng trên bàn thử preprod.
Các mức chi thưởng.
RCE; truy cập vào máy chủ khác hoặc khóa SSH; vượt kiểm soát cấp quyền; bác bỏ một tuyên bố SR về việc lưu trữ khóa
IDOR tới dữ liệu của người khác; XSS kèm chiếm phiên; bác bỏ các tuyên bố SR khác
XSS với tác động hạn chế; lộ thông tin nội bộ
ghi chú về thực hành tốt nhất; một header còn thiếu mà không kèm khai thác
Ngắn gọn và trung thực.
- Chỉ chạy các kiểm thử chủ động trên bàn thử preprod được chỉ định (pp.*) — không bao giờ nhằm vào production, máy chủ của đối tác hay của người dùng.
- Phần thưởng chỉ dành cho người báo cáo đầu tiên; các báo cáo trùng lặp được ghi nhận vào bảng vinh danh.
- Cần một bằng chứng khái niệm (proof of concept) có thể tái lập; 'các bạn thiếu header X' mà không kèm khai thác thì được ghi vào bảng vinh danh, không phải nhận thưởng.
- Công bố có trách nhiệm: giữ im lặng 90 ngày; chúng tôi phản hồi trong vòng 72 giờ.
- Vùng an toàn: chúng tôi sẽ không truy cứu hoạt động nghiên cứu thiện chí nằm trong phạm vi.
- Chỉ thử nghiệm trên tài khoản của riêng bạn.
- Ngoài phạm vi: máy chủ và dữ liệu của các đối tác và người dùng, tấn công từ chối dịch vụ, tấn công phi kỹ thuật, spam, truy cập vật lý.
Tìm thấy điều gì đó?
Gửi một báo cáo kèm bằng chứng khái niệm có thể tái lập qua email. Bạn cũng có thể tìm chúng tôi thông qua tệp security.txt trên các tên miền của chúng tôi.