RESPONSIBLE DISCLOSURE
Menemukan celah di sistem kami? Beri tahu kami lebih dulu.
Kami menguji sistem orang lain sebagai pekerjaan, jadi laporan tentang sistem kami sendiri kami tanggapi serius. Halaman ini menjelaskan apa yang masuk lingkup, cara mengirim laporan, dan apa yang terjadi setelahnya.
Cantumkan host yang terdampak pada baris subjek.
Kunci PGP tersedia atas permintaan. Mintalah lewat pesan pertama tanpa isi temuan, lalu kirim detailnya setelah Anda menerima kuncinya.
Apa yang dapat dilaporkan, dan apa yang tidak.
Masuk lingkup
- linuxhackingid.com dan subdomain yang kami operasikan
- Gateway API publik di api.linuxhackingid.com
- Autentikasi, penanganan sesi, dan kontrol akses di seluruh aplikasi kami
- Apa pun yang membuka data pengguna lain, atau data klien kami
Di luar lingkup
- Sistem milik klien kami. Laporkan ke klien, bukan ke kami
- Denial of service, pengujian volumetrik, dan apa pun yang menurunkan layanan berjalan
- Social engineering terhadap staf atau pemasok kami, dan penyusupan fisik
- Header hardening yang belum dipasang atau keluaran scanner tanpa dampak yang ditunjukkan
- Layanan pihak ketiga yang sekadar kami pakai, yang punya kanal disclosure sendiri
CARA MELAPOR
Satu isu per laporan
Laporan terpisah lebih cepat ditriase daripada satu pesan berisi lima temuan tak berkaitan.
Tunjukkan langkahnya
URL atau endpoint yang terdampak, request persisnya, dan apa yang harus dilakukan pembaca untuk melihatnya terjadi. Rekaman singkat sangat membantu.
Buktikan dampak, lalu berhenti
Ambil seminimal mungkin untuk menunjukkan isunya nyata. Jangan membaca, menyalin, mengubah, atau menghapus data yang bukan milik Anda, dan jangan bergerak lebih jauh ke dalam sistem.
Beri kami waktu
Mohon tahan publikasi sampai kami punya kesempatan wajar untuk memperbaikinya, dan bicarakan dengan kami sebelum Anda publikasi agar waktunya bisa disepakati bersama.
APA YANG DAPAT DIHARAPKAN
Konfirmasi penerimaan
Balasan dari manusia untuk memastikan laporan Anda kami terima. Kami tidak mempublikasikan jaminan waktu tanggap, dan lebih baik tidak menyatakan sesuatu yang belum tentu selalu kami penuhi.
Triase
Kami reproduksi isunya dan memberi tahu apakah kami menerimanya, serta seberapa serius menurut kami. Bila kami berbeda penilaian soal tingkat keparahan, kami jelaskan alasannya.
Perbaikan dan konfirmasi
Kami memberi tahu ketika perbaikan sudah rilis agar Anda dapat memverifikasinya sendiri. Bila kami memutuskan tidak memperbaiki sesuatu, Anda tetap mendapat jawaban dan alasannya.
Kredit, bila Anda mau
Dengan persetujuan Anda, kami mencantumkan nama Anda saat isunya kami tulis. Kami tidak menjalankan program bug bounty berbayar dan tidak ada imbalan uang atas sebuah laporan.
Riset dengan itikad baik kami sambut. Ini yang akan dan tidak akan kami lakukan.
Bila Anda meneliti dengan itikad baik, tetap di dalam lingkup di atas, mengikuti aturan pelaporan pada halaman ini, dan memberi kami kesempatan wajar untuk memperbaiki temuan Anda, kami memperlakukan pekerjaan Anda sebagai riset yang diizinkan dan tidak berniat mengajukan pengaduan atau tuntutan atas hal tersebut.
Ini pernyataan tentang bagaimana kami bermaksud bersikap, bukan kontrak dan bukan nasihat hukum. Pernyataan ini tidak mengikat pihak selain kami: tidak mewakili klien, pemasok, penyedia hosting, maupun otoritas mana pun, dan tidak memberi izin atas perbuatan yang melanggar hukum Indonesia. Bila laporan Anda menimbulkan keraguan, sampaikan dalam laporan dan kami bahas lebih dulu.