Melaporkan kerentanan.

Yang termasuk cakupan

Ini host yang kami operasikan dan memang bisa kami perbaiki.

Yang tidak

• —Layanan hulu yang dibaca oleh proyek-proyek kami. Kami tidak memilikinya, tidak bisa memperbaikinya, dan tidak akan meneruskan laporan tentangnya atas nama Anda — laporkan langsung ke pemiliknya.
• —Temuan yang mensyaratkan perangkat yang sudah disusupi, ekstensi peramban berbahaya, atau akses fisik.
• —Header pengerasan yang tidak ada, flag cookie pada cookie yang tidak kami pasang, atau keluaran pemindai tanpa dampak yang bisa ditunjukkan.
• —Pembatasan laju pada formulir kontak. Lihat batasan yang kami ketahui di bawah — Anda tidak perlu melaporkannya.
• —Denial of service, membanjiri lalu lintas, dan uji beban. Ini dilarang, bukan sekadar di luar cakupan.

Yang perlu disertakan

• —Apa masalahnya, dalam satu atau dua kalimat.
• —Langkah persis untuk mereproduksinya, termasuk permintaan atau payload yang dipakai.
• —Host-nya dan, bila relevan, versi atau commit-nya.
• —Apa yang sebenarnya bisa dilakukan penyerang dengan itu.
• —Apakah Anda ingin dicantumkan namanya, dan nama mana yang dipakai.

Apa yang terjadi berikutnya

• —Kami mengonfirmasi dalam 72 jam. Itu komitmen yang sama dengan yang tertulis di SECURITY.md pada repositori kami.
• —Anda diberi tahu apa yang kami temukan dan apa yang akan kami lakukan, termasuk kalau jawabannya adalah kami tidak akan memperbaikinya.
• —Perbaikan dirilis begitu siap. Tidak ada jendela pengungkapan yang tetap karena proyeknya cukup kecil sehingga jawaban jujurnya adalah "cepat, atau kami akan menjelaskan kenapa tidak".
• —Kalau Anda ingin namanya dicantumkan, akan dicantumkan. Kalau Anda memilih anonim, itu juga tidak masalah.

Safe harbour

Riset yang dilakukan dalam batas-batas ini kami izinkan, dan kami tidak akan menempuh atau mendukung tindakan hukum apa pun terhadap Anda karenanya. Tetaplah di dalam batas itu.

• —Uji hanya pada host yang terdaftar di atas, dan hanya dengan akun serta data milik Anda sendiri.
• —Berhenti begitu Anda berhasil menunjukkan masalahnya ada. Jangan membaca, menyalin, mengubah, atau menyimpan data orang lain.
• —Tidak ada denial of service, tidak ada pemindaian otomatis yang menurunkan kualitas layanan, tidak ada spam, dan tidak ada rekayasa sosial terhadap siapa pun.
• —Beri kami kesempatan yang wajar untuk memperbaikinya sebelum memberi tahu orang lain.

Imbalan

Tidak ada bug bounty dan tidak ada pembayaran. Ini usaha mikro, dan menawarkan imbalan yang belum tentu bisa kami penuhi hanya akan membuang waktu Anda. Yang bisa kami tawarkan adalah balasan cepat dari manusia dan pencantuman nama secara publik.

Batasan yang kami ketahui

Dipublikasikan supaya tidak ada yang menghabiskan satu sore menemukan ulang sesuatu yang sudah kami ketahui dan sudah kami putuskan.

security.txt

Detail kontak yang bisa dibaca mesin dipublikasikan di /.well-known/security.txt sesuai RFC 9116. Berkas itu kedaluwarsa pada 4 September 2027; tanggal yang sama ditampilkan di sini supaya keterlambatannya terlihat di halaman, bukan hanya di dalam berkas yang tak pernah dibuka.