برنامهٔ باگ‌بانتی
امنیتِ سرویس‌ها و داده‌های مشتریان برای ما اولویت است. اگر آسیب‌پذیریِ امنیتی‌ای در رپیدو سرور پیدا کرده‌اید، آن را مسئولانه گزارش کنید؛ برای گزارش‌های تأییدشده تا ۱۰٬۰۰۰٬۰۰۰ تومان پاداش می‌پردازیم.
سقفِ پاداش۱۰٬۰۰۰٬۰۰۰ تومان
جدولِ پاداش
مبلغِ هر گزارش بر اساسِ شدتِ واقعیِ آسیب‌پذیری و کیفیتِ گزارش، در بازهٔ سطحِ مربوط تعیین می‌شود.
| سطح | پاداش | نمونه‌ها |
|---|---|---|
| بحرانی | ۶٬۰۰۰٬۰۰۰ تا ۱۰٬۰۰۰٬۰۰۰ تومان | اجرای کد از راه دور (RCE)، تزریقِ SQL با دسترسی به داده، دورزدنِ احراز هویت و ورود به حسابِ مدیر، دستکاریِ پرداخت (سرویسِ رایگان، برداشت یا شارژِ دوبارهٔ کیف پول)، استخراجِ انبوهِ اطلاعاتِ کاربران |
| پرخطر | ۳٬۰۰۰٬۰۰۰ تا ۵٬۵۰۰٬۰۰۰ تومان | تصاحبِ حسابِ یک کاربر، دسترسی به سرور، صورتحساب یا تیکتِ کاربرِ دیگر (IDOR)، XSSِ ذخیره‌شده در پنلِ مدیریت، SSRF به شبکهٔ داخلی، ارتقای دسترسیِ کارمند به مدیر |
| متوسط | ۱٬۰۰۰٬۰۰۰ تا ۲٬۵۰۰٬۰۰۰ تومان | XSSِ بازتابی، CSRF روی عملیاتِ حساس، دورزدنِ محدودیتِ تعدادِ تلاشِ کدِ تأیید یا ورود، نشتِ اطلاعاتِ نیمه‌حساس، شکستنِ منطقِ تخفیف یا کدِ دعوت |
| کم | ۳۰۰٬۰۰۰ تا ۸۰۰٬۰۰۰ تومان | نشتِ جزئیِ اطلاعات، شناساییِ قابلِ بهره‌برداریِ وجودِ حساب، پیامِ خطای پرجزئیات، نبودِ هدرِ امنیتی با اثرِ واقعی |
| اطلاعاتی | تقدیر و درجِ نام | پیشنهادِ بهبود و بهترین‌عمل‌ها بدونِ اثرِ امنیتیِ واقعی |
قوانینِ برنامه
محدودهٔ برنامه
- در محدوده: سایتِ rapidoserver.com، پنلِ کاربری و APIِ عمومیِ همین دامنه.
- خارج از محدوده: سرویس‌های شخصِ ثالث (مانندِ درگاهِ پرداخت و سرویس‌دهندهٔ ایمیل)، سرورهای مجازیِ مشتریان و هر دامنه‌ای که این‌جا نام برده نشده است.
شرایطِ پذیرش و پاداش
- پاداش فقط به نخستین گزارش‌دهندهٔ هر آسیب‌پذیری تعلق می‌گیرد؛ گزارشِ تکراری، یا موردی که پیش‌تر برای تیم شناخته‌شده بوده، پاداش ندارد.
- پاداش فقط پس از تأییدِ آسیب‌پذیری توسطِ تیمِ توسعه پرداخت می‌شود؛ تعیینِ سطحِ شدت و مبلغِ نهایی در بازهٔ جدول با تیمِ توسعه است.
- ارقامِ جدول سقف‌اند، نه تضمین؛ مبلغ بر اساسِ اثرِ واقعی و کیفیتِ گزارش (مراحلِ بازتولید و اثباتِ مفهوم) تعیین می‌شود.
- چند گزارش با یک ریشهٔ مشترک، یک گزارش به حساب می‌آیند.
مواردی که پاداش ندارند
- حملهٔ منعِ سرویس (DoS/DDoS) و بارِ سنگینِ خودکار
- مهندسیِ اجتماعی، فیشینگِ کارکنان یا مشتریان و حملهٔ فیزیکی
- ارسالِ انبوهِ پیامک یا ایمیل و سوءاستفاده از فرم‌ها
- خروجیِ ابزارهای اسکنِ خودکار بدونِ اثباتِ قابلیتِ بهره‌برداری
- نبودِ هدر یا تنظیمِ توصیه‌شده بدونِ اثرِ امنیتیِ واقعی، self-XSS و مواردی که فقط روی مرورگرهای منسوخ کار می‌کنند
رفتارِ مسئولانه
- برای آزمون فقط از حسابِ خودتان استفاده کنید؛ به دادهٔ کاربرانِ دیگر دسترسی نگیرید و آن را دانلود، تغییر یا حذف نکنید.
- به‌محضِ اثباتِ آسیب‌پذیری آزمون را متوقف کنید و دسترسیِ به‌دست‌آمده را گسترش ندهید.
- تا رفعِ کامل و اعلامِ تیمِ توسعه، جزئیاتِ آسیب‌پذیری را به‌صورتِ عمومی منتشر نکنید.
نحوهٔ پرداخت
- در صورتِ تأییدِ گزارشِ امنیتی، از طریقِ همان ایمیلی که با آن گزارش را ثبت کرده‌اید با شما ارتباط می‌گیریم و پس از دریافتِ اطلاعاتِ پرداخت، پاداش را به شما پرداخت می‌کنیم.
نحوهٔ ارسالِ گزارش
- گزارش را در قالبِ یک فایلِ مارک‌داون (.md، حداکثر ۱ مگابایت) شاملِ نشانیِ آسیب‌پذیر، مراحلِ بازتولید، اثرِ امنیتی و اثباتِ مفهوم بفرستید.
- برای اطمینان از مالکیتِ ایمیل، پیش از ثبتِ گزارش یک کدِ تأییدِ شش‌رقمی به ایمیلِ شما فرستاده می‌شود.
ارسالِ گزارش
ایمیلِ خود را وارد کنید تا کدِ تأیید برایتان فرستاده شود؛ سپس عنوان و فایلِ گزارش را بفرستید.