Vulnerability Disclosure Program
LiveAgent har som mål å holde tjenesten sin sikker for alle, og datasikkerhet er av største betydning. Vårt Vulnerability Disclosure Program er ment å minimere virkningen som sikkerhetsfeil kan ha på verktøyene våre eller deres brukere. LiveAgent sitt Vulnerability Disclosure Program dekker programvare som er delvis eller primært skrevet av Quality Unit.
Hvis du er en sikkerhetsforsker og har oppdaget en sikkerhetssårbarhet i tjenesten, setter vi pris på at du hjelper oss ved å avsløre det privat og gir oss mulighet til å fikse det før du publiserer tekniske detaljer.
LiveAgent vil samarbeide med sikkerhetsforsker når sårbarheter rapporteres til oss som beskrevet her. Vi vil validere, svare på og fikse sårbarheter som støtte til vårt engasjement for sikkerhet og personvern. Vi vil ikke ta rettslige skritt mot, suspendere eller avslutte tilgang til tjenesten for de som oppdager og rapporterer sikkerhetssårbarheter på ansvarlig måte. LiveAgent forbeholder seg alle sine juridiske rettigheter i tilfelle manglende overholdelse.
Rapportering
Del detaljer om eventuelle mistenkte sårbarheter med LiveAgent Development Team på support@liveagent.com . Vennligst ikke offentliggjør disse detaljene utenfor denne prosessen uten eksplisitt tillatelse.
Når du rapporterer eventuelle mistenkte sårbarheter, vennligst inkluder så mye informasjon som mulig. Hvis du ønsker å sende inn flere rapporter samtidig, vennligst send inn bare en rapport (den viktigste hvis mulig) og vent på svar.
Kompensasjon
Vi er glade for å tilby en bounty for sårbarhetsinformasjon som hjelper oss med å beskytte kundene våre som takk til sikkerhetsforsker som velger å delta i bug bounty-programmet vårt. Den vanlige bounty-belønningen er $100 per sårbarhet som sendes inn og verifiseres av utviklingsteamet vårt.
Vi vil bare belønne den første rapportøren av en sårbarhet. Dupliserte rapporter vil ikke bli belønnet.
Omfang
Du kan bare teste mot en LiveAgent-konto som du er kontoeier for eller en agent autorisert av kontoeieren til å utføre slik testing. For eksempel:
- yourdomain.ladesk.com
Belønnet sårbarhetstypologi
Vi vil belønne deg for følgende typer sårbarheter:
- Remote Command Execution (RCE)
- SQL Injection
- Broken Authentication
- Broken Session Management
- Access Control Bypass
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Open URL Redirection
- Directory Traversal
Merk: Rapporter om når en angriper bare kan true sin egen konto med Admin-rolle vil ikke bli belønnet med en bounty. XSS forårsaket av en Admin vil ikke bli belønnet med en bounty.
For å kvalifisere, må sårbarheten eksistere i den siste offentlige utgivelsen (inkludert offisielt utgitte offentlige betaer) av programvaren. Bare sikkerhetssårbarheter vil kvalifisere. Vi ville elske hvis folk rapporterte andre feil via de aktuelle kanalene, men siden formålet med dette programmet er å fikse sikkerhetssårbarheter, vil bare feil som fører til sikkerhetssårbarheter være kvalifisert for belønninger. Andre feil vil bli akseptert etter vårt skjønn.
Retningslinjer
Vennligst følg følgende retningslinjer for å være kvalifisert for belønninger under dette avsløringsprogrammet:
- Ikke permanent endre eller slett LiveAgent-hostede data.
- Ikke få tilgang til ikke-offentlige LiveAgent-data mer enn nødvendig for å demonstrere sårbarheten.
- Ikke DDoS eller på annen måte forstyrr, avbryt eller forverr våre interne eller eksterne tjenester.
- Ikke del konfidensiell informasjon oppnådd fra LiveAgent, inkludert men ikke begrenset til medlem eller donor betalingsinformasjon, med noen tredjepart.
- Social engineering er utenfor omfang. Ikke send phishing-e-poster til eller bruk andre social engineering-teknikker mot noen, inkludert QualityUnit-ansatte, medlemmer, leverandører eller partnere.
I tillegg, vennligst gi oss minst 90 dager til å fikse sårbarheten før du offentlig diskuterer eller blogger om det. Vårt team mener at sikkerhetsforsker har rett til å rapportere sin forskning og at offentliggjøring er svært fordelaktig, og forstår at det er et svært subjektivt spørsmål om når og hvordan man skal holde tilbake detaljer for å redusere risikoen for at sårbarhetsinformasjon vil bli misbrukt. Hvis du mener at tidligere offentliggjøring er nødvendig, vennligst gi oss beskjed slik at vi kan starte en samtale.
Endringslogg
Vi informerer offentlig om alle fikset sikkerhetsproblemer gjennom vår endringslogg . Problemer relatert til sikkerhet er merket med tag [Security].
