Informasi: Kamu bukan peneliti keamanan? Untuk melaporkan nomor, rekening, atau tautan penipuan, pakai halaman Lapor. Kalau nomor atau rekeningmu merasa salah dilaporkan, ajukan lewat formulir keberatan.
Halaman ini untuk peneliti keamanan yang menemukan celah di Ponten, misalnya cara membuat server kami membuka alamat internal, membaca data orang lain, atau melewati pembatasan. Terima kasih sudah membantu menjaga orang-orang yang memakai Ponten.
Cara melapor
Kirim email ke alamat ini. Tulis langkah untuk mengulang celahnya, dampaknya, dan alamat atau bagian yang terkena. Jangan lampirkan data pribadi orang lain yang sempat kamu lihat. Cukup sebutkan bahwa kamu melihatnya.
halo@ponten.idYang termasuk
- Server kami bisa dibuat membuka alamat internal atau jaringan pribadi (SSRF), misalnya lewat Cek tautan atau tab tautan di Cek berita hoaks.
- Membaca, mengubah, atau menghapus data milik pengguna lain, laporan warga, atau keberatan.
- Masuk sebagai pengguna lain, atau memakai fitur pengelola tanpa hak.
- Melewati batas pemakaian atau pemeriksaan keamanan otomatis dengan cara yang bisa diulang.
- Kunci rahasia, isi tangkapan layar, atau data pribadi yang ikut terkirim ke tempat yang salah.
Yang tidak termasuk
- Laporan penipuan, keberatan atas laporan, atau pertanyaan pemakaian.
- Membanjiri layanan sampai lambat atau mati (DoS).
- Menipu atau membujuk pengelola dan pengguna Ponten (rekayasa sosial).
- Temuan dari pemindai otomatis tanpa bukti dampak.
Aturan saat menguji
- Pakai akunmu sendiri. Jangan membuka, menyimpan, atau mengubah data orang lain lebih dari yang perlu untuk membuktikan celahnya.
- Kalau kamu sempat melihat data orang lain, berhenti di situ, jangan simpan, hapus salinannya, dan sebutkan di laporanmu.
- Uji SSRF hanya ke server milikmu sendiri. Jangan memakai server kami untuk memindai atau menyerang sistem orang lain.
- Jangan memakai nomor telfon, rekening, atau tautan milik orang sungguhan sebagai bahan uji, dan jangan mengirim laporan palsu tentang orang lain.
- Jangan mengunggah tangkapan layar percakapan atau foto orang sungguhan. Buat gambar ujimu sendiri.
- Jangan menghabiskan jatah pemeriksaan ke layanan luar. Jatah yang habis membuat pemeriksaan warga lain tidak bisa menjawab.
- Tunggu sampai celahnya kami perbaiki sebelum mengumumkannya. Kalau 90 hari sejak laporanmu belum juga diperbaiki, kamu boleh mengumumkannya.
Yang kami lakukan
- Kami usahakan membalas dalam 7 hari. Kadang bisa lebih lama.
- Kami kabari kalau celahnya sudah diperbaiki.
- Saat ini kami belum bisa memberi hadiah uang.
Kami tidak akan menempuh jalur hukum terhadap peneliti yang bertindak dengan itikad baik dan mengikuti aturan di halaman ini. Janji ini hanya dari kami. Kami tidak bisa berbicara atas nama pihak lain.