Kebijakan Pengungkapan Kerentanan

Komitmen kita

Kami sangat memperhatikan keamanan pengguna dan data mereka. Kami menerima laporan dari peneliti keamanan dan akan bekerja sama dengan Anda untuk memahami dan menyelesaikan masalah apa pun dengan cepat. Kami tidak akan mengambil tindakan hukum terhadap Anda atas penelitian keamanan yang dilakukan dengan itikad baik berdasarkan kebijakan ini.

Cakupan

Dalam lingkup

• ahaslides.com dan subdomainnya (misalnya presenter.dev.ahaslide.com ke penonton.ahaslides.com)
• Aplikasi web AhaSlides, aplikasi presenter dan audiens.

Keluar dari ruang lingkup

• Pengujian penolakan layanan (DoS/DDoS) dan pengujian volumetrik atau pembanjiran lalu lintas.
• Rekayasa sosial terhadap staf, pengguna, atau kontraktor; serangan fisik.
• Spam, atau temuan dari pemindai otomatis tanpa dampak yang terbukti dan dapat dieksploitasi.
• Laporan yang hanya memengaruhi browser yang tidak didukung atau sudah dihentikan dukungannya.
• Layanan pihak ketiga yang tidak kami kendalikan (sampaikan hal ini kepada pihak ketiga tersebut)
• Akses audiens terbuka (tanpa otentikasi): aplikasi audiens sengaja memungkinkan siapa pun untuk bergabung dalam presentasi dan mengirimkan tanggapan tanpa akun atau login, sehingga audiens dapat berpartisipasi secara bebas. Laporan bahwa alur bergabung atau pengiriman tanggapan audiens tidak memiliki otentikasi tidak dianggap sebagai kerentanan.
• Saran praktik terbaik tanpa dampak keamanan (misalnya, header yang hilang tanpa eksploitasi, detail kecil SPF/DMARC, XSS mandiri, pendapat tentang pembatasan laju). Saran-saran ini diterima, tetapi tidak dianggap sebagai kerentanan.

Rules of engagement

Silahkan do:

• Laporkan segera setelah Anda menemukan masalah, dan beri kami waktu yang cukup untuk memperbaikinya sebelum mengungkapkannya kepada publik.
• Gunakan hanya akun uji Anda sendiri. Berhenti pada tahap pembuktian konsep.

Silahkan tidak:

• Mengakses, memodifikasi, mengunduh, atau menghapus data yang bukan milik Anda. Untuk membuktikan akses, tangkapan layar atau catatan minimal yang telah disunting sudah cukup, jadi jangan membocorkan data pengguna sebenarnya.
• Merusak atau mengganggu layanan kami, atau menjalankan serangan otomatis berskala besar.
• Mengungkapkan masalah tersebut kepada publik sebelum kami memastikan bahwa masalah tersebut telah teratasi (lihat Pengungkapan terkoordinasi).

Bagaimana cara melaporkan

Email security@ahaslides.com dengan:

1. Deskripsi yang jelas tentang kerentanan dan dampaknya.
2. Reproduksi langkah demi langkah, termasuk URL atau endpoint yang terpengaruh.
3. Bukti konsep (tangkapan layar, video pendek, atau permintaan minimal), disunting.
4. Nama atau akun Anda untuk kredit (opsional).

Apa yang dapat Anda harapkan dari kami

• Pengakuan dalam 2 hari kerja.
• A keputusan triase (valid, butuh informasi lebih lanjut, atau di luar cakupan) di dalam 5 hari kerja.
• Kami akan memberikan pembaruan secara berkala selama proses perbaikan, dan akan memberi tahu Anda setelah masalah teratasi.
• Nama Anda akan dicantumkan sebagai publik dalam ucapan terima kasih keamanan kami, jika Anda menginginkannya.

Pengungkapan terkoordinasi

Kami meminta Anda untuk merahasiakan detailnya sampai kami mengkonfirmasi bahwa perbaikan telah diterapkan, dan berkoordinasi dengan kami jika ada publikasi terkait hal ini. Target jangka waktu perbaikan kami adalah... selama 90 hariJika kami membutuhkan waktu lebih lama, kami akan memberi tahu Anda alasannya.

Pengakuan

AhaSlides adalah perusahaan yang sedang berkembang dan tidak menjalankan program hadiah berbayar tetap yang dipublikasikan. Jika sebuah laporan valid, orisinal, dan diungkapkan secara bertanggung jawab, kami dapat, atas kebijakan kami sendiri, menawarkan tanda penghargaan dan/atau pengakuan publik sebagai ucapan terima kasih.

Laporan duplikat. Jika beberapa orang melaporkan masalah yang sama, maka laporan pertama yang dapat direproduksi yang kami terima Dialah yang berhak menerima penghargaan apa pun. Reporter selanjutnya yang meliput isu yang sama masih dapat menerima penghargaan publik jika mereka menambahkan informasi baru yang signifikan (misalnya dampak yang lebih parah, reproduksi yang lebih baik, atau permukaan yang terkena dampak tambahan).

Masalah yang sudah diketahui. Jika kami sudah mengetahui suatu masalah dan telah mencatatnya secara internal sebelum laporan Anda tiba, kami tetap akan mengakui dan berterima kasih kepada Anda, tetapi hal itu tidak akan memenuhi syarat untuk mendapatkan imbalan. Seperti halnya dengan data duplikat, kami dapat menawarkan kredit publik jika laporan Anda menambahkan informasi baru yang signifikan.

Kami selalu berterima kasih atas bantuan Anda dalam menjaga keamanan AhaSlides.