Patakaran sa Responsableng Pag-uulat
Sa Gig Earnings Guide (gigearningsguide.com), seryoso naming tinitingnan ang seguridad ng aming website, infrastructure at komunidad ng mga user. Malugod naming tinatanggap ang feedback at kontribusyon mula sa mga independiyenteng cybersecurity researcher, etikal na hacker at mahilig sa teknolohiya na tumutulong sa aming panatilihing ligtas ang platform.
Garantiya ng Safe Harbor:
Kung nagsasagawa ka ng vulnerability research nang may mabuting loob at naaayon sa patakarang ito, ituturing naming awtorisado ang iyong mga aksyon. Hindi kami magsisimula ng sibil o kriminal na legal na aksyon laban sa iyo. Hindi kami hihingi ng interbensyon sa mga awtoridad.
Kung nagsasagawa ka ng vulnerability research nang may mabuting loob at naaayon sa patakarang ito, ituturing naming awtorisado ang iyong mga aksyon. Hindi kami magsisimula ng sibil o kriminal na legal na aksyon laban sa iyo. Hindi kami hihingi ng interbensyon sa mga awtoridad.
1. Mga Patakaran sa Pakikilahok (Guidelines)
Para maging kwalipikado sa proteksyon ng safe harbor at matulungan ang aming security team, sumasang-ayon ka na:
- Mag-abiso Agad: I-report ang anumang posibleng security vulnerability sa sandaling matuklasan mo ito.
- Protektahan ang Privacy ng User: Gawin ang lahat ng makatwirang pagsisikap na huwag ma-access, makita, mabago, ma-download o masira ang personal na data, order o license key ng ibang user. Kung aksidente kang maka-access ng personal na data, itigil ang testing at i-report ito agad.
- Walang Pag-abala sa Serbisyo: Huwag gumawa ng mga aksyon na nagpapababa sa karanasan ng user, nagpapa-crash ng server o umaabala sa availability.
- Panatilihin ang Pagiging Kumpidensyal: Huwag isapubliko ang vulnerability o ibahagi ito sa third party hangga't hindi pa ito naiimbestigahan, naaayos at nakukumpirma ng aming team ang fix (coordinated disclosure).
2. Mga Ipinagbabawal na Paraan ng Testing
Mahigpit na Labas sa Saklaw:
- Mga Denial of Service (DoS / DDoS) attack o pagtatangkang ubusin ang resources.
- Automated brute-forcing o credential-stuffing laban sa mga login/license activation endpoint.
- Phishing, spear-phishing o social engineering na nakatutok sa mga administrator o shopper.
- Mga pisikal na atake sa data center, empleyado o hosting hardware.
- Mga atakeng direktang nakatutok sa third-party na infrastructure (hal., pag-atake sa mga payment server ng Paddle.com o sa mga edge node ng Cloudflare).
3. Mga Target na Saklaw
- Mga pangunahing web domain at subdomain (hal.,
gigearningsguide.com). - Mga pampublikong endpoint ng web reader, HTML client application at JavaScript logic.
- Mga depensa ng Content Security Policy (CSP), Cross-Site Scripting (XSS) at Cross-Site Request Forgery (CSRF).
4. Paano Mag-report ng Vulnerability
Pakipadala ang mga detalyadong report sa aming security email:
Security Email: gigearningsguide@gmail.com
Sa iyong report, pakisama ang:
- Malinaw na paglalarawan ng vulnerability at ng uri nito (hal., XSS, maling configuration ng CORS).
- Sunud-sunod na hakbang para ma-reproduce ito o isang minimal na Proof of Concept (PoC).
- Ang apektadong URL, parameter o HTTP request headers.
- Ang iyong pagtatasa sa posibleng totoong panganib o epekto nito.
5. Takdang Oras ng Pagtugon at Pagkilala
Nangangako kaming hahawakan nang responsable ang mga security report:
- Unang Pagkilala: Sa loob ng 48 oras mula sa iyong pagpapadala.
- Triage at Pagtatasa: Sa loob ng 5 business day.
- Pag-aayos: Sinisikap naming i-patch ang mga high-severity na isyu sa lalong madaling panahon.
- Pagkilala: Sa ngayon, wala kaming bayad (monetary) na bug bounty program. Pero masaya kaming kilalanin ka sa publiko sa aming Security Hall of Fame para sa mga wasto, bago at may epektong vulnerability na na-report nang etikal.