Programa Bug Bounty de LiveAgent

Programa de divulgación de vulnerabilidades

LiveAgent tiene como objetivo mantener su servicio seguro para todos, y la seguridad de los datos es de suma importancia. Nuestro Programa de Divulgación de Vulnerabilidades está destinado a minimizar el impacto que cualquier falla de seguridad tenga en nuestras herramientas o en sus usuarios. El Programa de Divulgación de Vulnerabilidades de LiveAgent cubre el software escrito parcial o principalmente por Quality Unit.

Si es un investigador de seguridad y ha descubierto una vulnerabilidad de seguridad en el servicio, le agradecemos su ayuda para revelárnoslo a nosotros de forma privada y nos dará la oportunidad de solucionarlo antes de publicar detalles técnicos.

LiveAgent interactuará con los investigadores de seguridad cuando las vulnerabilidades se nos informen como se describe aquí. Validaremos, responderemos y corregiremos vulnerabilidades en apoyo de nuestro compromiso con la seguridad y la privacidad. No tomaremos medidas legales, suspenderemos o terminaremos el acceso al servicio de aquellos que descubran y notifiquen vulnerabilidades de seguridad de manera responsable. LiveAgent se reserva todos sus derechos legales en caso de incumplimiento.

Informar

Comparta los detalles de las vulnerabilidades sospechosas con el equipo de desarrollo de LiveAgent en support@liveagent.com. Por favor, no divulgue públicamente estos detalles fuera de este proceso sin permiso explícito. Al informar de cualquier vulnerabilidad sospechosa, incluya tanta información como sea posible. Si desea enviar varios informes a la vez, por favor envíe solo un informe (el más importante si es posible) y espere una respuesta.

Compensación

Nos complace ofrecer una recompensa por la información de vulnerabilidad (que nos ayuda a proteger a nuestros clientes) como agradecimiento a los investigadores de seguridad que eligen participar en nuestro programa de recompensas de errores. La recompensa regular es de $50 por bounty enviada y verificada por nuestro equipo de desarrollo.

Solo recompensaremos al primer informador de una vulnerabilidad. Los informes duplicados no serán recompensados.

Alcance

Solo puede realizar pruebas con una cuenta de LiveAgent en la que sea el propietario de la cuenta o un agente autorizado por el propietario de la cuenta para llevar a cabo dichas pruebas. Por ejemplo:

• *yourdomain*.ladesk.com

Lo recompensaremos por los siguientes tipos de vulnerabilidades:

• Ejecución remota de comandos (RCE)
• Inyección SQL
• Autenticación rota
• Administración de sesiones rotas
• Bypass de control de acceso
• Secuencia de comandos en sitios cruzados (XSS)
• Falsificación de petición en sitios cruzados (CSRF)
• Redirección de URL abierta
• Transversal de directorios

Los informes de cuándo un atacante solo puede amenazar su propia cuenta con el rol de administrador no recibirán una recompensa. XSS causado por un administrador no será recompensado.

Para calificar, la vulnerabilidad debe existir en la última versión pública (incluyendo betas públicas publicadas oficialmente) del software. Solo las vulnerabilidades de seguridad calificarán. Nos encantaría que la gente reportara otros errores a través de los canales apropiados, pero ya que el propósito de este programa es corregir vulnerabilidades de seguridad, solo los errores que conducen a vulnerabilidades de seguridad serán elegibles para recompensas. Otros errores serán aceptados a nuestra discreción.

Directrices

Por favor, siga las siguientes pautas para ser elegible para recompensas bajo este programa de divulgación:

• No modifique ni elimine permanentemente los datos alojados en LiveAgent.
• No acceda intencionalmente a los datos no públicos de LiveAgent más de lo necesario para demostrar la vulnerabilidad.
• No altere, interrumpa o degrade nuestros servicios internos o externos.
• No comparta información confidencial obtenida de LiveAgent, incluida, entre otras, la información de pago de miembros o donantes con terceros.
• La ingeniería social está fuera de alcance. No envíe correos electrónicos de phishing, ni utilice otras técnicas de ingeniería social contra cualquier persona, incluyendo personal, miembros, proveedores o socios de QualityUnit.

Además, por favor permítanos al menos 90 días para solucionar la vulnerabilidad antes de discutir públicamente o bloguear sobre ella. Nuestro equipo cree que los investigadores de seguridad tienen derecho a informar de su investigación y que la divulgación es muy beneficiosa, y entiende que es una pregunta altamente subjetiva de cuándo y cómo retener los detalles para mitigar el riesgo de que la información de vulnerabilidad sea mal utilizada. Si cree que es necesaria una divulgación anterior, por favor permítanos saberlo para que podamos hablar.

Registro de Cambios

Informamos públicamente sobre todos los problemas de seguridad fijos a través de nuestro registro de cambios. Los problemas relacionados con la seguridad se marcan con la etiqueta [Seguridad].