Bounty-program för säkerhetsexploits

På Challengermode är användardatas säkerhet av största vikt. Vi välkomnar extern hjälp genom vårt bounty-program för att testa vår säkerhet. Om du tror att du hittat en sårbarhet uppmanar vi dig att rapportera den omedelbart.

Riktlinjer för ansvarsfull forskning och disclosure

Stör inte tjänsten. Undvik skanningsmetoder som riskerar att orsaka försämrad service för andra.
Testa endast din egen data. Åtkomst eller exponering ska bara ske för kunddata som är din egen.
Håll dig inom ramarna för våra användarvillkor.
Om du får åtkomst till interna system, avbryt testen och rapportera omedelbart.
Samla endast information nödvändig för att demonstrera sårbarheten. Radera Challengermode-data som kan ha laddats ner eller cachats på systemen du använt.
Publicera ingen information om sårbarheten innan Challengermode åtgärdat den.

För att vara berättigad till en bounty måste din rapport accepterats som giltig av Challengermode. Vi använder följande riktlinjer för att avgöra giltighet och belopp.

Reproducerbarhet

Våra ingenjörer måste kunna reproducera felet utifrån din rapport. För vaga rapporter blir de inte berättigade till belöning. Rapport med tydliga förklaringar och fungerande kod ökar chansen till belöning.

Allvarlighetsgrad

Allvarligare buggar belönas med större belopp.

Exempel på kvalificerande sårbarheter

Cross-site scripting (XSS)
Cross-site request forgery (CSRF/XSRF)
Server-side kodexekvering
Autentiserings- eller auktoriseringsfel
Mixed-content-skript

Exempel på sårbarheter som inte kvalificerar

Denial of Service (DOS) och spam-sårbarheter
Säkerhetsproblem på tredjepartswebbplatser som integrerar med Challengermode
Social engineering
Bristande efterlevnad av "best practices" (t.ex. vanliga HTTP-headers, länk-utgångstid, e-postvalidering eller lösenordspolicy)
Latens i distribuerade eventual consistency-processer

Belöningar

Vårt belöningssystem är flexibelt utan strikta övre eller nedre gränser. Beloppet beror helt på sårbarhetens allvarlighetsgrad.Belöningen skickas via PayPal (eller Challengermode-konto) när sårbarheten är fixad. Dessa tjänster tar ut avgifter som dras från utbetalt belopp.Programmet är diskretionärt och Challengermode förbehåller sig rätten att avsluta det; beslut om utbetalning sker på eget omdöme.