Program Hadiah Bug

Capgo is committed to security and transparency. All our code is open source, and we welcome security researchers to help us identify vulnerabilities in our codebase.

Open Source Code

Semua repositori di organisasi Capgo tersedia sumber terbuka. Anda dapat memeriksa, mengaudit, dan berkontribusi pada code.

Organisasi: GitHub github.com/Cap-go

Syarat untuk Laporan yang Valid

Untuk memenuhi syarat Bug Bounty, laporan Anda harus memenuhi SEMUA syarat berikut:

• Anda harus mengidentifikasi file dan nomor baris yang tepat di repository GitHub kami di mana kelemahan tersebut ada
• Laporan Anda harus disampaikan melalui GitHub Advisory Keamanan pada repository yang relevan
• Anda harus mencantumkan deskripsi yang jelas tentang kelemahan dan dampak potensialnya
• You must provide reproducible steps to demonstrate the issue

Waktu Tanggapan dan Hormat

Kami ramah dan kami membayar untuk laporan yang valid, tetapi kami tidak dapat bekerja sama dengan orang-orang yang tidak menghormati waktu kami. Silakan menjaga komunikasi yang tenang dan mengikuti program ini.

• Kami akan menanggapi laporan keamanan dan insiden dalam waktu 24-72 jam.
• Jangan spam kami. Lebih dari tiga email dalam satu hari dianggap spam dan akan diblokir.
• Kami tidak membayar untuk laporan yang melanggar aturan ini atau spam.
• Hanya laporan yang relevan dan mengikuti program bug bounty ini yang diterima; apapun yang lain mungkin diblokir.
• Jangan bertanya tentang status update seperti "apakah Anda telah memeriksa?" atau pertanyaan serupa. Setelah kami mengkonfirmasi bahwa kami telah menerima laporan Anda, itu sudah cukup. Setelah itu, masih ada pekerjaan yang signifikan untuk dilakukan, dan membuat pull request dapat memakan waktu beberapa hari.

Cara Melaporkan

1. Navigasikan ke repositori relevan pada GitHub
2. Klik pada tab "Keamanan"
3. Klik "Laporkan kelemahan" untuk membuat advisory keamanan baru
4. Termasuk jalur file dan nomor baris yang tepat di mana kelemahan tersebut ada
5. Berikan langkah-langkah detail untuk mereproduksi masalah dan jelaskan dampak keamanan

Luar Jangkauan

• Laporan tanpa referensi baris code yang tepat pada GitHub
• Laporan yang tidak disampaikan melalui GitHub Advisory Keamanan
• Keterbocoran teori tanpa bukti konsep
• Masalah pada platform, dependensi, atau layanan pihak ketiga yang Capgo tidak dapat memperbaiki secara langsung (laporkan ke atas, misalnya ke Supabase).
• Upaya penipuan atau phishing
• Serangan denial of service
• SSRF atau laporan DNS spoofing terhadap webhook atau tampilan website. Fitur-fitur ini berjalan di infrastruktur serverless dan tidak dapat digunakan untuk mencapai infrastruktur Capgo pribadi, sehingga tidak dapat dimanfaatkan dalam lingkungan kami.
• Pengaturan aplikasi atau proyek milik pengguna code yang tidak dimiliki, dikirim, atau dikontrol oleh Capgo, termasuk file seperti capacitor.config.ts, config.capacitor.ts, kode sumber code, dan pengaturan spesifik lingkungan.
• Akses ke file-file bundle Capgo atau bukti bahwa file-file bundle dapat diunduh. File-file bundle adalah aset web publik, pengguna diinformasikan tentang hal ini, dan akses ke mereka tidak dianggap sebagai pelanggaran data.
• Endpoint-plugin Capgo/API yang tidak terotentikasi yang sengaja dibuat publik oleh desain — termasuk endpoint set dan update/stats yang tidak memerlukan kunci API — tidak dianggap sebagai kerentanan. Jangan laporkan sebagai kerentanan.
• Penyebab penyajian atau UI uploader yang salah mengidentifikasi enkripsi untuk bundle yang disajikan melalui external_url tidak dianggap sebagai kerentanan Capgo (enkripsi bundle yang dihosting secara eksternal di luar kendali Capgo).

Supabase dan Layanan Pihak Ketiga

Jika penyebab utama adalah bug platform atau layanan Supabase, laporkan ke Supabase, bukan Capgo. Jika logika yang rentan, SQL, RPC, kebijakan RLS, fungsi Edge, atau konfigurasi dibuat atau dipilih oleh Capgo dan kami dapat memperbaikinya dalam proyek kami, maka itu masih dalam lingkup bahkan ketika Supabase menyajikan endpoint. Untuk temuan tentang perilaku Supabase sendiri, termasuk kasus yang dapat diulang dan pengaturan Supabase yang tepat atau perubahan konfigurasi yang mencegahnya dalam proyek yang disesuaikan dengan kami.

Contoh

Keterbatasan Autentikasi Supabase yang Dikenal (Sudah Dilaporkan)

Some findings are repeatedly reported and are caused by Supabase Auth defaults or platform behavior rather than Capgo code. We review these only when they can be reproduced in a shared Supabase demo project configured like ours and when the fix is a Supabase-side configuration change that does not require changing Capgo security rules. If the fix requires changing Capgo-owned SQL, RPCs, RLS policies, functions, or app logic, report it to us because that is in scope.

• Berikan kasus yang dapat direproduksi dan identifikasi perbaikan yang tepat: baik pengaturan/config Supabase yang menyelesaikan masalah perilaku Supabase, atau objek Capgo-milik code/konfigurasi yang harus berubah.
• Perilaku verifikasi email diharapkan mengikuti pengaturan proyek Supabase Auth (misalnya, apakah konfirmasi email dinonaktifkan dan autentikasi berbasis tangkapan digunakan).
• Fluktuasi perbarui kata sandi dan alur pemulihan akun mungkin tidak selalu memerlukan pengulangan kata sandi lama atau re-verifikasi jika Supabase Auth dikonfigurasi demikian.
• Jika masalah ada dalam daftar ini tetapi Anda dapat menunjukkan perbaikan konkrit sisi Supabase dalam proyek yang disediakan atau defek keamanan konkrit Capgo-milik, kami dapat mempertimbangkannya dalam lingkup.

Untuk pertanyaan tentang program Bug Bounty kami, silakan menghubungi kami melalui GitHub Advisory Keamanan.