Program de Dezvăluire a Vulnerabilităților
LiveAgent se străduiește să mențină serviciul său sigur pentru toți, iar securitatea datelor este de o importanță maximă. Programul nostru de Dezvăluire a Vulnerabilităților este destinat să minimizeze impactul pe care orice defecte de securitate le pot avea asupra instrumentelor noastre sau asupra utilizatorilor acestora. Programul de Dezvăluire a Vulnerabilităților al LiveAgent acoperă software-ul scris parțial sau în principal de Quality Unit.
Dacă sunteți un cercetător de securitate și ați descoperit o vulnerabilitate de securitate în Serviciu, apreciem ajutorul vostru în a o dezvălui nouă în mod privat și în a ne oferi oportunitatea de a o remedia înainte de a publica detaliile tehnice.
LiveAgent va colabora cu cercetătorii de securitate atunci când vulnerabilități sunt raportate nouă așa cum este descris aici. Vom valida, răspunde și vom remedia vulnerabilități în sprijinul angajamentului nostru față de securitate și confidențialitate. Nu vom lua măsuri legale împotriva, nu vom suspenda sau nu vom termina accesul la Serviciu al celor care descoperă și raportează vulnerabilități de securitate în mod responsabil. LiveAgent și rezervă toate drepturile sale legale în cazul oricărei neconformități.
Raportare
Împărtășiți detaliile oricăror vulnerabilități suspectate cu Echipa de Dezvoltare LiveAgent la support@liveagent.com . Vă rugăm să nu dezvăluiți public aceste detalii în afara acestui proces fără permisiune explicită.
La raportarea oricăror vulnerabilități suspectate, vă rugăm să includeți cât mai multe informații posibil. Dacă doriți să trimiteți mai multe rapoarte simultan, vă rugăm trimiteți doar un raport (cel mai important dacă este posibil) și așteptați un răspuns.
Compensație
Suntem bucuroși să oferim o recompensă pentru informații despre vulnerabilități care ne ajută să protejăm clienții noștri, ca mulțumire cercetătorilor de securitate care aleg să participe în programul nostru de recompense pentru găsirea de erori. Recompensa regulată este $100 per vulnerabilitate trimisă și verificată de echipa noastră de dezvoltare.
Vom recompensa doar primul raportator al unei vulnerabilități. Rapoartele duplicate nu vor fi recompensate.
Domeniu de aplicare
Puteți testa doar împotriva unui Cont LiveAgent pentru care sunteți Proprietarul Contului sau un Agent autorizat de Proprietarul Contului să efectueze astfel de teste. De exemplu:
- yourdomain.ladesk.com
Tipuri de Vulnerabilități Recompensate
Vă vom recompensa pentru următoarele tipuri de vulnerabilități:
- Remote Command Execution (RCE)
- SQL Injection
- Broken Authentication
- Broken Session Management
- Access Control Bypass
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Open URL Redirection
- Directory Traversal
Notă: Rapoartele în care un atacator poate amenința doar propriul cont cu rol de Admin nu vor fi recompensate cu o recompensă. XSS cauzat de un Admin nu va fi recompensat cu o recompensă.
Pentru a se califica, vulnerabilitatea trebuie să existe în cea mai recentă versiune publică (inclusiv beta-uri publice oficial lansate) a software-ului. Doar vulnerabilități de securitate se vor califica. Ne-ar plăcea dacă oamenii ar raporta alte erori prin canalele corespunzătoare, dar deoarece scopul acestui program este de a remedia vulnerabilități de securitate, doar erorile care conduc la vulnerabilități de securitate vor fi eligibile pentru recompense. Alte erori vor fi acceptate la discreția noastră.
Linii Directoare
Vă rugăm să respectați următoarele linii directoare pentru a fi eligibil pentru recompense în cadrul acestui program de dezvăluire:
- Nu modificați permanent sau ștergeți datele găzduite de LiveAgent.
- Nu accesați intenționat date non-publice ale LiveAgent mai mult decât este necesar pentru a demonstra vulnerabilitatea.
- Nu efectuați DDoS sau altfel nu deranjați, întrerupeți sau degradați serviciile noastre interne sau externe.
- Nu împărtășiți informații confidențiale obținute de la LiveAgent, inclusiv dar nu limitat la informații de plată ale membrilor sau donatorilor, cu nicio terță parte.
- Ingineria socială este în afara domeniului de aplicare. Nu trimiteți e-mailuri de phishing către, sau nu utilizați alte tehnici de inginerie socială împotriva oricui, inclusiv personalul QualityUnit, membrilor, furnizorilor sau partenerilor.
În plus, vă rugăm să ne acordați cel puțin 90 de zile pentru a remedia vulnerabilitatea înainte de a o discuta public sau de a scrie despre ea. Echipa noastră crede că cercetătorii de securitate au dreptul de a-și raporta cercetarea și că dezvăluirea este foarte benefică, și înțelege că este o chestiune foarte subiectivă când și cum să rețineți detaliile pentru a atenua riscul că informațiile despre vulnerabilități vor fi utilizate în mod abuziv. Dacă credeți că dezvăluirea mai timpurie este necesară, vă rugăm să ne anunțați pentru ca noi să putem începe o conversație.
Jurnal de Modificări
Informăm public despre toate problemele de securitate remediate prin jurnalul nostru de modificări . Problemele legate de securitate sunt marcate cu eticheta [Security].
