Vulnerability Disclosure Policy (VDP)

Selamat datang di thiscrb.com Vulnerability Disclosure Program (VDP)

Sebagai media online, thiscrb.com berkomitmen untuk menjaga keamanan platform, sistem, serta data pengguna dan pembaca kami. Kebijakan ini dibuat untuk mendorong peneliti keamanan, bug hunter, dan masyarakat umum agar melaporkan potensi kerentanan keamanan secara bertanggung jawab.

Laporan Anda sangat membantu kami dalam menjaga lingkungan digital yang aman, tepercaya, dan nyaman bagi seluruh pengguna thiscrb.com.

Komitmen Keamanan

Bagi thiscrb.com, keamanan data dan keandalan layanan merupakan prioritas utama. Kami berupaya merancang dan mengelola sistem media online kami dengan standar keamanan yang baik agar konten, akun, dan layanan tetap terlindungi.

Kebijakan ini menjelaskan cara kami menerima, memproses, dan menindaklanjuti laporan terkait potensi kerentanan atau kesalahan keamanan pada platform thiscrb.com.

Kami mengundang pembaca, pengguna, peneliti keamanan, mitra, dan pihak lain yang berinteraksi dengan layanan kami untuk melaporkan temuan keamanan sesuai panduan di halaman ini.

Aturan Keterlibatan (Rules of Engagement)

Laporan yang Bertanggung Jawab

Kerentanan hanya boleh diuji dan digunakan sebatas untuk pembuktian, bukan untuk disalahgunakan, dimanfaatkan, atau dieksploitasi lebih lanjut.

Etika Pengujian

Hindari segala bentuk pengujian yang dapat merugikan pengguna, mitra, reputasi media, atau operasional thiscrb.com.

Integritas Data

Jangan merusak, menghapus, mengubah, atau menghancurkan data apa pun yang diakses selama proses pengujian.

Aktivitas yang Dilarang

Aktivitas berikut tidak diperbolehkan:

• Social engineering
• Phishing atau spamming
• Denial of Service (DoS/DDoS)
• Serangan yang menguras sumber daya
• Menjalankan scanner, fuzzer, atau alat otomatis tanpa izin

Kepatuhan Hukum

Seluruh aktivitas pengujian harus mematuhi hukum dan peraturan yang berlaku.

Kerahasiaan

Jaga kerahasiaan laporan. Jangan mempublikasikan kerentanan atau detail laporan tanpa persetujuan tertulis dari pihak thiscrb.com.

Eksploitasi Terbatas

Eksploitasi hanya diperbolehkan sejauh yang diperlukan untuk membuktikan adanya kerentanan.

Integritas Layanan

Jangan dengan sengaja mengganggu, merusak, atau menurunkan kualitas layanan thiscrb.com.

Privasi Pengguna

Dilarang mengakses data pribadi pengguna, akun redaksi, atau sistem internal tanpa izin.

Proses Pelaporan

Jika Anda menemukan potensi celah keamanan, silakan kirim laporan melalui email:

[email protected]

Mohon sertakan:

• Deskripsi kerentanan secara jelas
• URL atau endpoint yang terdampak
• Langkah-langkah reproduksi atau Proof of Concept (PoC)
• Bukti pendukung (screenshot, log, atau video)
• Dampak keamanan yang mungkin terjadi
• Informasi kontak Anda

Dengan mengirimkan laporan, Anda dianggap menyetujui ketentuan dalam kebijakan VDP ini.

Apresiasi

Kami sangat menghargai setiap laporan yang disampaikan secara bertanggung jawab. Sebagai bentuk apresiasi:

• Kami akan menyampaikan ucapan terima kasih melalui email
• Sertifikat apresiasi digital dapat diberikan kepada pelapor atas kontribusi yang valid dan bertanggung jawab
• Kontributor dengan temuan berdampak signifikan dapat dicantumkan di Hall of Fame (dengan persetujuan pelapor

Hall of Fame

Akan diperbarui secara berkala.

Di Luar Ruang Lingkup (Out of Scope)

Beberapa contoh laporan yang tidak termasuk scope:

• Subdomain takeover tanpa bukti yang dapat diverifikasi
• Enumerasi akun atau username
• Rate limit issues tanpa dampak brute-force nyata
• Kerentanan pada perangkat yang telah di-root/jailbreak
• UUID enumeration
• SSL pinning issues
• Open redirect dengan dampak rendah
• Software versi usang tanpa bukti dampak nyata
• Stack trace, path disclosure, directory listing
• CSV injection
• Self-XSS
• Temuan pada lingkungan staging/sandbox
• Laporan hasil scanner otomatis tanpa analisis manual
• Missing security headers
• Cookie flags pada non-auth cookies
• Email spoofing tanpa dampak
• Banner grabbing
• Port terbuka tanpa dampak keamanan yang jelas
• Broken link hijacking
• Aktivitas DoS/DDoS
• Social engineering dalam bentuk apa pun

Kontak

Jika Anda memiliki pertanyaan terkait kebijakan ini atau ruang lingkup pengujian, silakan hubungi:

[email protected]