Pelaporan kerentanan

Termasuk

• Aplikasi web Smart Farm dan panel lapangan di domain resmi kami.
• API aplikasi, termasuk API perangkat IoT di /api/v1/iot/telemetry.
• Portal admin pusat, sejauh dapat diuji tanpa akses admin yang sah.
• Halaman publik seperti dokumentasi ini.

Tidak termasuk

• Layanan pihak ketiga, seperti halaman pembayaran Mayar, WhatsApp, atau penyedia hosting. Laporkan langsung kepada pemiliknya.
• Serangan penolakan layanan (DoS/DDoS) atau pengujian beban.
• Rekayasa sosial terhadap staf atau pengguna, phishing, dan serangan fisik.
• Temuan otomatis tanpa bukti dampak nyata, seperti header keamanan yang tidak ada, versi perangkat lunak, atau clickjacking pada halaman tanpa tindakan sensitif.
• Self-XSS, CSRF pada formulir tanpa dampak, dan enumerasi akun melalui pesan galat umum.
• Masalah yang memerlukan perangkat korban yang sudah dibobol atau peramban yang sangat usang.

Kirim laporan ke email yang tercantum di kontak di bagian bawah halaman ini dengan subjek “Laporan keamanan”. Bila Anda pengguna Smart Farm, Anda juga dapat membuat tiket di menu Bantuan, tetapi jangan cantumkan detail teknis yang sensitif di sana; tuliskan bahwa Anda ingin melaporkan celah keamanan dan kami akan menghubungi Anda.

Agar kami dapat menindaklanjuti dengan cepat, sertakan:

• jenis kerentanan dan bagian layanan yang terdampak, misalnya alamat halaman atau endpoint API;
• langkah-langkah untuk mereproduksi, termasuk permintaan dan tanggapan yang relevan;
• perkiraan dampak, misalnya data apa yang dapat dibaca atau diubah;
• tangkapan layar atau video bila membantu;
• nama atau nama samaran dan cara menghubungi Anda.

Selama menguji, mohon:

• pakai akun dan tambak milik Anda sendiri. Bila perlu dua tambak untuk menguji pemisahan data, buat keduanya sendiri;
• jangan mengakses, mengunduh, mengubah, atau menghapus data milik orang lain. Bila tidak sengaja terlihat, hentikan pengujian, jangan simpan datanya, dan sebutkan dalam laporan;
• berhenti segera setelah kerentanan terbukti, tanpa memperdalam akses, berpindah ke sistem lain, atau memasang pintu belakang;
• jangan mengganggu ketersediaan layanan, mengirim spam, atau menjalankan pemindaian otomatis dengan volume tinggi;
• jangan mengirim data palsu dalam jumlah besar ke API perangkat IoT;
• jangan mengungkapkan kerentanan kepada pihak lain sebelum kami memperbaikinya atau sebelum batas waktu di bawah.

• Mengonfirmasi penerimaan laporan dalam 3 hari kerja.
• Memberikan penilaian awal, termasuk apakah laporan diterima dan tingkat keparahannya, dalam 10 hari kerja.
• Memberi kabar perkembangan perbaikan secara berkala dan memberi tahu Anda saat perbaikan selesai.
• Tidak mengambil langkah hukum terhadap pelapor yang bertindak dengan itikad baik dan mengikuti pedoman ini.
• Mencantumkan nama Anda sebagai penemu dalam catatan perbaikan bila Anda menginginkannya.

Target waktu perbaikan, dihitung sejak kerentanan terkonfirmasi:

Target ini adalah upaya terbaik kami, bukan jaminan, dan dapat berubah sesuai kerumitan perbaikan.

Kami meminta Anda menunggu sampai perbaikan diterapkan sebelum mempublikasikan temuan. Bila perbaikan belum selesai setelah 90 hari sejak laporan diterima, kita dapat menyepakati waktu publikasi bersama. Mohon jangan mencantumkan data pribadi atau data tambak siapa pun dalam publikasi.

Saat ini kami belum menjalankan program bug bounty berbayar. Sebagai ucapan terima kasih, kami dapat mencantumkan nama Anda dalam catatan perbaikan atas persetujuan Anda. Bila suatu saat program imbalan dibuka, ketentuannya akan diumumkan di halaman ini.

Bila Anda menguji dan melapor dengan itikad baik sesuai pedoman ini, kami menganggap kegiatan Anda sebagai riset yang diizinkan dan tidak akan mengajukan tuntutan atau laporan kepada aparat atas pengujian tersebut. Bila pihak lain mengambil langkah hukum terhadap Anda atas kegiatan yang sesuai pedoman ini, kami akan menyatakan bahwa kegiatan itu kami izinkan.

Perlindungan ini tidak berlaku untuk tindakan yang melampaui pedoman, seperti mengambil data orang lain, memeras, atau mengganggu layanan. Lihat juga Keamanan dan Kebijakan penggunaan.