Программа вознаграждения за уязвимости
В Challengermode безопасность данных пользователей имеет первостепенное значение. Именно поэтому мы приветствуем помощь извне через нашу программу вознаграждений, чтобы проверить нашу безопасность. Если вы считаете, что обнаружили уязвимость системы безопасности в Challengermode, мы рекомендуем немедленно сообщить нам об этом.
Рекомендации по исследованию и раскрытию информации
- Не нарушайте работу сервиса. Избегайте методов сканирования, которые могут ухудшить качество обслуживания.
- Проводите тесты используя только свои данные. Доступ и разглашение должен происходить только с использованием своих собственных данных.
- Соблюдайте рекомендации наших Условий использования.
- Если вы получили доступ к нашей внутренней системе, прекратите тестирование и немедленно сообщите об этом.
- Собирайте только ту информацию, которая необходима для демонстрации уязвимости. Надежно удалите информацию Challengermode, которая могла быть загружена, кэширована или иным образом сохранена в системах, используемых для проведения исследования.
- Не публикуйте информацию об уязвимости, пока Challengermode не исправит ее.
Чтобы иметь право на вознаграждение, ваша заявка должна быть принята Challengermode как действительная. Мы используем следующие рекомендации для определения действительности запросов и предлагаемой компенсации.
Повторяемость
Наши инженеры должны иметь возможность воспроизвести ошибку в системе безопасности из вашего отчета. Слишком расплывчатые или неясные отчеты не подлежат вознаграждению. Отчеты, содержащие четко написанные объяснения и рабочий код, с большей вероятностью получат вознаграждение.
Серьезность
Более серьезные ошибки будут щедро вознаграждены.
Примеры подходящих уязвимостей
- Межсайтовый скриптинг (XSS)
- Подделка межсайтовых запросов (CSRF/XSRF)
- Исполнение кода на стороне сервера
- Недочеты аутентификации или авторизации
- Скрипты смешанного содержания
Примеры неподходящих уязвимостей
- Отказ в обслуживании (DOS) и спам уязвимости
- Проблемы безопасности на сторонних вебсайтах, которые интегрируются с Challengermode
- Социальная инженерия
- Несоблюдение "лучших практик" (например, распространенных HTTP-заголовков, истечения срока действия ссылки, проверки электронной почты или политики паролей)
- Задержки в распределенных процессах конечной согласованности
Награды
Наша система вознаграждений гибкая и не имеет строгих верхних или нижних пределов. Сумма будет зависеть исключительно от серьезности уязвимости.Вознаграждение будет отправлено через PayPal (или учетную запись Challengermode) после устранения уязвимости. Эти службы взимают комиссию за обработку транзакции, которая вычитается из присужденной суммы.Challengermode оставляет за собой право отменить программу. Решение по выплате вознаграждения или отказе от него остается на наше усмотрение.
Как сообщить
Пожалуйста, напишите нам по адресу security@challengermode.com с любыми отчетами об уязвимостях или вопросами к программе.
