Envios de vulnerabilidade

No Auction Sniper, levamos a segurança e a privacidade muito a sério. Acreditamos que pesquisadores de segurança responsáveis em todo o mundo são críticos para identificar vulnerabilidades em qualquer tecnologia. O Auction Sniper dá boas-vindas e incentiva os pesquisadores de segurança a denunciar vulnerabilidades em nossos sistemas e agradecemos seus esforços para tornar a Internet um lugar mais seguro.

Como o programa funciona
Os pesquisadores devem divulgar possíveis vulnerabilidades de acordo com as seguintes diretrizes:

Let us know as soon as possible upon discovery of a potential security issue and we'll make every effort to quickly resolve the issue.
Please avoid any privacy violations, degradations and disruption to our production systems during your testing. This includes any activity that has an impact on the availability of our systems, including the use of vulnerability scanning tools.
Do not access data of other users and solely use your created accounts.
Do not attempt to brute-force or spam our systems.
Never exploit a vulnerability you discover to view data or alter data without authorization.
Do not do anything illegal. Researchers are responsible for complying with local laws, restrictions, regulations, etc.
Please keep information disclosed confidential between yourself and Auction Sniper, until we resolve the issue. Again, we will make our best efforts to fix issues in a short time frame, but some vulnerabilities take longer than others to resolve.

Ao enviar com responsabilidade suas descobertas ao Auction Sniper, de acordo com estas diretrizes, o Auction Sniper concorda em não buscar uma ação legal contra você. O Auction Sniper reserva todos os direitos legais no caso de não conformidade com essas diretrizes.

Depois que um relatório é enviado, o Auction Sniper se compromete a fornecer um aviso imediato do recebimento de todos os relatórios e o manterá razoavelmente informado sobre o status de qualquer vulnerabilidade validada que você relatar através deste programa.

Relate quaisquer problemas de segurança que você encontrar [email protected]. Se o seu envio contiver alguma informação sensível sobre vulnerabilidade, criptografe-a usando nossa chave pública PGP na parte inferior desta página.

Inclua o seguinte no seu envio:

Your name and contact information
Company name (if applicable)
A detailed description of the potential vulnerability.
Exact steps to reproduce the issue, including any associated URL and parameters demonstrating the vulnerability, proof of concept links and/or payloads.
Any relevant details of your system’s configuration, such as any browser or user-agent information where the tests were conducted.
Your IP address and Auction Sniper account, to assist with coordinated log review.

Exclusões
Certas vulnerabilidades são consideradas fora do escopo de nosso Programa de Divulgação Responsável, incluindo:

Social engineering (including phishing) of Auction Sniper staff, contractors, or users
DoS/DDoS
Resource Exhaustion attacks
Self XXS
Vulnerabilities only affecting users of outdated or unpatched browsers and platforms
Reports from automated tools and/or scans
Bugs in 3rd party software
Physical attacks on our infrastructure
DNSSEC
CSV Injection
SSL/TLS Best Practices
X-Frame-Options related
Missing security headers which do not lead directly to a vulnerability

Obrigado

Queremos agradecer sinceramente por divulgar as vulnerabilidades de segurança com responsabilidade e trabalhar conosco para melhorar nossa segurança. Entendemos o trabalho e o talento que você dedicou a encontrar esses problemas e agradecemos o seu contato.

Nossa chave PGP

Se você estiver enviando informações sigilosas sobre vulnerabilidades ou quiser se comunicar conosco em particular sobre sua preocupação, recomendamos que você use a seguinte chave PGP para criptografar sua mensagem para nós.

Last Updated: June 2020