Spørsmål og svar

Ja, når eieren av systemet har gitt skriftlig tillatelse. Uten tillatelse er de samme handlingene straffbare i de fleste jurisdiksjoner. Derfor starter hvert oppdrag med en skriftlig tillatelse og et omfang, og derfor verifiserer vi at den som signerer, har fullmakt til å signere.

Eieren av systemet eller en person eieren har gitt fullmakt: vanligvis en direktør, eller en sikkerhets- eller teknologiansvarlig som handler etter en fullmakt selskapet har gitt. Vi ber om bekreftelse gjennom en offisiell kanal hos selskapet.

Du, for det du selv drifter, og for plattformen under gjelder leverandørens retningslinjer. De store leverandørene publiserer retningslinjer for testing som tillater testing av dine egne ressurser uten forhåndsgodkjenning, og som lister opp hva som er forbudt. Vi kontrollerer de gjeldende retningslinjene før hvert oppdrag.

Bare med skriftlig samtykke fra leverandøren. Avtalen din med en leverandør gir deg ikke rett til å tillate et angrep på leverandørens systemer, med mindre avtalen sier det.

Det avhenger av omfanget. Tilbudet oppgir antallet testdager og datoene i kalenderen; begge deler fastsettes før avtalen signeres.

Reglene for gjennomføring fastsetter hva som er tillatt: testvinduer, forespørselsfrekvens, utelukkede teknikker og stoppkriterier. Testing med tjenestenektangrep utføres aldri med mindre du ber om det skriftlig. Hvis vi ser tegn til ustabilitet, stopper vi og ringer kontaktpersonen din.

En kontaktperson, testkontoer, en beskrivelse av systemet og helst et miljø som tilsvarer produksjonen. Siden for hver tjeneste viser hva den tjenesten trenger.

Du får beskjed innen 24 timer etter bekreftelse, gjennom den sikre kanalen som ble avtalt ved oppstart, med nok detaljer til å handle. Vi venter ikke på sluttrapporten.

Et ledersammendrag, omfanget og metoden, hvert funn med bevis, steg for å gjenskape, CVSS 4.0-vektor, CWE-klasse og utbedring, angrepsveiene og en utbedringsplan ordnet etter prioritet.

Ja. Én retest av hvert funn innen 60 dager etter at rapporten er levert er inkludert. Etterpå får du en oppdatert rapport og et bekreftelsesbrev.

Bekreftelsesbrevet er skrevet for det formålet: Det oppgir hva som ble testet, når, med hvilken metode og med hvilket resultat, uten tekniske detaljer. Den fullstendige rapporten er din, og du deler den slik du selv finner riktig.

Nei. En test viser tilstanden til systemene innenfor omfanget i testvinduet, med den avtalte dybden. Den reduserer risikoen og beviser hva som ble kontrollert; den kan ikke bevise at det ikke finnes sårbarheter. Systemene endres med hver utgivelse, og derfor finnes retesten og kontinuerlig testing.

Hvert funn kommer med en konkret utbedring, og gjennomgangsmøtet er der for spørsmålene fra ingeniørene dine. Vi endrer ikke systemene dine selv: Den som tester, bør ikke være den som utbedrer.

Ja. Sjekken koster ingenting, og det gjør heller ikke rapporten når vi ikke finner sårbarheter. Når vi finner sårbarheter, får du vite antallet og alvorlighetsgraden gratis, og du bestemmer om du vil kjøpe rapporten. Prisen avhenger av antallet funn og hvor alvorlige de er, og den oppgis før du bestemmer deg.

Ingenting. Du skylder ingenting, og det vi fant, forblir konfidensielt: Vi gir det ikke videre til noen og publiserer ingenting. Tegn på at noen allerede har brutt seg inn i nettstedet, rapporteres til deg straks og gratis.

Ut fra hvor stort og komplekst omfanget er, hvor dypt vi tester og hvilken tilgang vi får. Etter avklaringen av omfanget får du en fast pris; den endres bare hvis omfanget endres.

Ja. NDA-en signeres før du deler noen detaljer om systemene dine.

Vi korresponderer og skriver rapporter på engelsk og russisk. En forespørsel kan skrives på alle språkene på dette nettstedet; svaret kommer på engelsk eller russisk. Et ledersammendrag av rapporten på det andre av de to språkene får du på forespørsel.

Arbeidsdata destrueres 30 dager etter at oppdraget er avsluttet. Rapporten oppbevares så lenge avtalen sier, og slettes deretter.

Eiere publiserer programmer og oppgir belønningene etter at de har bevist eierskapet til systemet med dokumenter. Sikkerhetsforskere rapporterer sårbarheter gjennom plattformen. Vi undersøker hver rapport og utbetaler belønningen. Provisjonen vår er 20 % av hver belønning og betales av eieren.

En penetrasjonstest er en tidsavgrenset vurdering som et innleid team utfører innenfor et avtalt omfang, med en rapport som dekker alt som ble testet. Bug bounty er et program uten sluttdato, der uavhengige sikkerhetsforskere belønnes for gyldige funn. Det første gir trygghet på et gitt tidspunkt, det andre gir kontinuerlig oppdagelse.

Ikke før du har fått gjennomført en penetrasjonstest. Start med en test og et privat program. En offentlig lansering med et omfang som ikke er testet, betaler høye belønninger for funn som en vurdering til fast pris ville ha levert.

Ikke betal under press, og ikke kom med trusler. Bekreft mottaket, be om de tekniske detaljene, og verifiser påstanden. Vi kan verifisere rapporten, vurdere alvorlighetsgraden og hjelpe deg med å svare: Send en forespørsel gjennom skjemaet, og oppgi at en rapport venter på svar.