Dasar Pendedahan Keterdedahan

Komitmen kami

Kami memandang serius keselamatan pengguna dan data mereka. Kami mengalu-alukan laporan daripada penyelidik keselamatan dan akan bekerjasama dengan anda untuk memahami dan menyelesaikan sebarang isu dengan cepat. Kami tidak akan mengambil tindakan undang-undang terhadap anda atas penyelidikan keselamatan yang dijalankan dengan niat baik di bawah dasar ini.

Skop

Dalam skop

• ahaslides.com dan subdomainnya (contohnya presenter.dev.ahaslide.com dan penonton.ahaslides.com)
• Aplikasi web AhaSlides, aplikasi penyampai dan khalayak

Di luar skop

• Ujian penafian perkhidmatan (DoS/DDoS) dan volumetrik atau banjir trafik
• Kejuruteraan sosial kakitangan, pengguna atau kontraktor; serangan fizikal
• Spam atau penemuan daripada pengimbas automatik tanpa impak yang boleh dieksploitasi dan terbukti
• Laporan yang hanya menjejaskan pelayar yang tidak disokong atau yang tamat hayat
• Perkhidmatan pihak ketiga yang tidak kami kawal (membicarakannya dengan pihak ketiga)
• Akses khalayak terbuka (tidak disahkan): aplikasi khalayak sengaja membenarkan sesiapa sahaja menyertai pembentangan dan menghantar respons tanpa akaun atau log masuk, supaya khalayak boleh mengambil bahagian dengan bebas. Laporan bahawa penyertaan khalayak atau aliran penyerahan kekurangan pengesahan tidak dianggap sebagai kelemahan.
• Cadangan amalan terbaik tanpa kesan keselamatan (contohnya pengepala yang hilang tanpa eksploitasi, nitpicks SPF/DMARC, XSS kendiri, pendapat yang mengehadkan kadar). Ini dialu-alukan, tetapi tidak dianggap sebagai kelemahan.

Peraturan pertunangan

Sila do:

• Laporkan sebaik sahaja anda menemui masalah dan berikan kami masa yang munasabah untuk menyelesaikannya sebelum mendedahkannya kepada umum.
• Gunakan hanya akaun ujian anda sendiri. Berhenti pada bukti konsep.

Sila jangan:

• Akses, ubah suai, muat turun atau padam data yang bukan milik anda. Untuk membuktikan akses, tangkapan skrin atau rekod minimum yang disunting sudah memadai, jadi jangan keluarkan data pengguna sebenar.
• Turunkan atau ganggu perkhidmatan kami, atau jalankan serangan volum tinggi automatik.
• Dedahkan isu ini secara terbuka sebelum kami mengesahkan ia telah diselesaikan (lihat Pendedahan yang diselaraskan).

Cara melaporkan

E-mel security@ahaslides.com dengan:

1. Huraian yang jelas tentang kelemahan dan kesannya.
2. Pengeluaran semula langkah demi langkah, termasuk URL atau titik akhir yang terjejas.
3. Bukti konsep (tangkapan skrin, video pendek atau permintaan minimum), disunting.
4. Nama atau alamat anda untuk kredit (pilihan).

Apa yang anda boleh harapkan daripada kami

• Penghargaan dalam Hari perniagaan 2.
• A keputusan triaj (sah, memerlukan maklumat lanjut atau di luar skop) dalam Hari perniagaan 5.
• Kemas kini berkala semasa kami berusaha menyelesaikan masalah dan perhatikan apabila ia telah diselesaikan.
• Kredit awam dalam pengakuan keselamatan kami, jika anda mahu.

Pendedahan yang diselaraskan

Kami meminta anda merahsiakan butiran tersebut sehingga kami mengesahkan pembetulan telah dilaksanakan dan menyelaraskan sebarang penulisan awam dengan kami. Tempoh pemulihan sasaran kami ialah hari 90; jika kami memerlukan lebih lama, kami akan memberitahu anda sebabnya.

Pengiktirafan

AhaSlides ialah sebuah syarikat yang sedang berkembang dan tidak menjalankan program ganjaran berbayar yang tetap dan diterbitkan. Sekiranya laporan itu sah, asli dan didedahkan secara bertanggungjawab, kami boleh, mengikut budi bicara kami, menawarkan tanda penghargaan dan/atau kredit awam sebagai ucapan terima kasih.

Laporan berganda. Apabila beberapa orang melaporkan isu yang sama, laporan boleh dihasilkan semula pertama yang kami terima adalah orang yang layak mendapat sebarang ganjaran. Wartawan terkemudian bagi isu yang sama masih boleh menerima kredit awam jika mereka menambah maklumat baharu yang material (contohnya impak yang lebih teruk, pembiakan yang lebih baik atau permukaan terjejas tambahan).

Isu-isu yang telah diketahui. Jika kami sudah mengetahui tentang sesuatu isu dan telah merekodkannya secara dalaman sebelum laporan anda tiba, kami masih akan merakamkan penghargaan dan ucapan terima kasih, tetapi ia tidak layak mendapat ganjaran. Seperti pendua, kami mungkin menawarkan kredit awam jika laporan anda menambah maklumat baharu yang penting.

Kami sentiasa berterima kasih atas bantuan anda dalam memastikan AhaSlides selamat.