<div>
<p>請通讀我們的政策，因為它清楚地說明我們會給予獎勵的安全問題類型。只有通過我們的聯絡表（在這個頁面底部訪問）提交的報告才有機會獲得獎勵。</p>
</div>

<p>在Doist，我們的故障報告獎勵政策是我們安全防護的重要元素之一。如果您發現了一個安全問題並且認為我們應當重視，我們很樂意與您合作。您的付出可能會收穫一份金錢獎勵。</p>

<h2>資格</h2>

<ul>
<li>您必須是第一個發現問題的人，這樣才有可能獲得獎勵。</li>
<li>您必須輔助我們的團隊獲得額外的信息來重現和解決問題。</li>
</ul>

<h2>政策條款</h2>

<ul>
<li>遵守<a href="https://hackerone.com/guidelines" target="_blank" rel="noreferrer nofollow noopener" data-target-href="https://hackerone.com/guidelines"><u>HackerOne’s disclosure guidelines</u></a>。</li>
<li>刪除任何測試數據或著作為研究成員之一而創建的帳戶。</li>
<li>不能攻擊或與終端用戶接觸。</li>
<li>不能使用被偷取的用戶數據，包括憑證。</li>
<li>不能使用自動化掃描或測試，包括DoS攻擊。</li>
<li>不能使用社交引擎攻擊，比如網絡誘騙。</li>
<li>不能參與Doist員工或其設備的物理測試。</li>
</ul>

<div>
<div>
<br>無法遵守以上條款將會被立刻取消資格。</div>
<h2>潛在目標</h2>
<ul>
<li><a href="http://www.todoist.com">www.todoist.com</a></li>
<li><a href="http://www.twist.com">www.twist.com</a></li>
<li>Windows、macOS、Linux、iOS和Android當前版本的Todoist和Twist</li>
<li>請使用<a href="mailto:todoistbounty@protonmail.com" target="_blank" rel="noopener noreferrer">todoistbounty@protonmail.com</a>作為受害者帳戶來進行測試。</li>
</ul>
<div>
<h2>提交您的報告</h2>
<ul>
<li>提供一份詳細的報告，其中包括清晰的重現步驟、對我們的產品和/或用戶的影響和任何您可能正在使用測試數據的測試帳戶。</li>
<li>確保在不同的支持請求中分別報告問題。</li>
<li>確保您的報告標題清晰地描述了您發現的漏洞。</li>
<li>您的提交必須包含重現漏洞的文字說明。任何沒有清晰重現步驟或者只有視頻PoC的報告將無法獲得獎勵。</li>
</ul>
<h2>獎勵</h2>
<div>您可能會收到一份金錢獎勵，如果：</div>
<ul><ul>
<li>您是第一個報告產品故障的人</li>
<li>我們的團隊認為您報告的故障為有效安全問題</li>
<li>您遵守了以上全部的政策條款</li>
</ul></ul>
<p>我們的團隊將會決定具體的獎勵金額，他們會評估每份報告並確定故障級別來給予對應的獎金。故障級別會在內部根據故障的類型和潛在的影響來決定。以下是您可以找到的每個故障級別的示例概覽：</p>
<div data-accordion="">
<h4>故障級別：無 - 沒有獎勵</h4>
<ul>
<li>不影響安全的問題，比如non-200 HTTP回應、應用或者服務器錯誤等。</li>
<li>沒有清晰的安全方面影響的問題，比如登出CSRF、缺少HTTP安全標題、SSL問題、密碼政策問題或者不具備敏感操作的點擊劫持。</li>
<li>影響舊版應用或插件的問題，無論是有效的還是在維護的</li>
<li>影響第三方的問題，比如第三方應用或我們使用的服務器（例如，Firebase、ZenDesk）</li>
<li>涉及垃圾郵件或社交引擎技術的問題，比如SPF和DKIM，以及缺少DNSSEC。</li>
<li>涉及服務器信息洩漏的問題，即`X-Powered-by`和`Server`響應標頭。當公開信息包含帶有相關的<a href="https://www.redhat.com/en/topics/security/what-is-cve">CVE</a>公開服務器版本時，也可能會存在例外。</li>
<li>涉及部分服務上使用服務端偽造請求（SSRF）來假裝主動請求的相關問題，需要證明敏感信息會被洩漏。</li>
<li>需要非常規的用戶交互的問題（例如，通過SSO登錄的帳戶接管）。</li>
<li>報告要求可以優先訪問目標設備，除非報告本身不在我們的管控之內。這包括但不限於：訪問瀏覽器cookies和/或其他模擬用戶的口令、訪問用戶的電子郵箱地址等。</li>
<li>點擊劫持問題發生在前置認證的頁面，或缺少`X-Frame-Options`響應，或任何其他可以利用的點擊劫持問題。</li>
<li>跨資源共享（CORS）問題，服務器不會響應`Access-Control-Allow-Credentials: true`標題。</li>
<li>缺少速率限制，需要說明由它引起的可以被利用的漏洞。</li>
<li>註冊、登錄和忘記密碼頁面的用戶電子郵件枚舉。</li>
<li>URIs中的可用文件會帶有以`/.well-known`開頭的路徑（也被稱為<a href="https://en.wikipedia.org/wiki/Well-known_URI" target="_self">well-known URIs</a>）。</li>
<li>通過密碼重置繞過2FA</li>
<li>客戶應用的具體問題<ul>
<li>未加密存儲的用戶數據</li>
<li>缺乏清晰的闡述</li>
<li>運行時的漏洞攻擊，包括對正在運行的代碼或其環境的控制</li>
</ul>
</li>
</ul>
<h4>故障級別：低</h4>
<ul>
<li>開發的重新定向</li>
<li>服務器配置錯誤或規則錯誤</li>
<li>信息洩露或公開，不包括用戶敏感信息</li>
<li>跨資源共享（CORS）問題，服務器會通過`Access-Control-Allow-Credentials: true`標題來響應第三方`Origin`標題的要求（例如，不是`*.todoist.com`、`*.twist.com`）。</li>
<li>顯示的XSS</li>
<ul>
<li>
<a href="https://developer.mozilla.org/en-US/docs/Web/Security/Mixed_content" target="_self">混合內容</a>問題，如果目標URL沒有響應‘強制安全傳輸技術’（即<a href="https://developer.mozilla.org/pt-BR/docs/Web/HTTP/Headers/Strict-Transport-Security" target="_self">HSTS</a>）標頭。這會存在風險，但是僅限於每個域/子域的單獨交互（取決於HSTS值）。2021年的時候，<a href="https://www.makeuseof.com/chrome-defaults-to-https/" target="_self">瀏覽器</a>已經變成了默認HTTPS，進一步緩解了這個問題。</li>
</ul>
<li>其他低等級別的問題</li>
</ul>
<h4>故障級別：中</h4>
<ul>
<li>CSRF / XSRF</li>
<li>導向內部服務器的SSRF</li>
<li>已儲存的XSS</li>
<li>其他中等級別的問題</li>
</ul>
<h4>故障級別：高</h4>
<ul>
<li>信息洩露或公開，包括用戶敏感信息</li>
<li>其他高等級別的問題</li>
</ul>
<h4>故障級別：嚴重</h4>
<ul>
<li>SQL注入</li>
<li>遠程執行代碼</li>
<li>特權升級</li>
<li>認證失敗</li>
<li>導向內部服務器的SSRF，導致嚴重的安全風險</li>
<li>其他嚴重級別的問題</li>
</ul>
</div>
</div>
<div>
<div>
<br><table style="height: 66px; width: 538px;" width="631">
<thead><tr style="height: 22px;">
<th style="width: 96.139702px; height: 22px;">應用</th>
<th style="width: 84.503677px; height: 22px;">無</th>
<th style="width: 78.474266px; height: 22px;">低</th>
<th style="width: 95.863968px; height: 22px;">中</th>
<th style="width: 81.470589px; height: 22px;">高</th>
<th style="width: 81.470589px; height: 22px;">危急</th>
</tr></thead>
<tbody>
<tr style="height: 22px;">
<td style="width: 88.125px; height: 22px;"><strong>Todoist</strong></td>
<td style="width: 76.488968px; height: 22px;">$0</td>
<td style="width: 70.459557px; height: 22px;">$100</td>
<td style="width: 87.849266px; height: 22px;">$200</td>
<td style="width: 73.455879px; height: 22px;">$500</td>
<td style="width: 73.455879px; height: 22px;">$1000</td>
</tr>
<tr style="height: 22px;">
<td style="width: 88.125px; height: 22px;"><strong>Twist</strong></td>
<td style="width: 76.488968px; height: 22px;">$0</td>
<td style="width: 70.459557px; height: 22px;">$50</td>
<td style="width: 87.849266px; height: 22px;">$100</td>
<td style="width: 73.455879px; height: 22px;">$250</td>
<td style="width: 73.455879px; height: 22px;">$500</td>
</tr>
</tbody>
</table>
<p>在我們Android移動應用上的問題可能能夠獲得一筆額外的獎勵，請查看<a href="https://hackerone.com/googleplay" target="_blank" rel="noreferrer nofollow noopener" data-target-href="https://hackerone.com/googleplay"><u>Google Play Security Rewards Program</u></a>。</p>
<p>所有獎勵會通過Paypal支付。</p>
<p>Doist團隊將保留故障是否有效的決定權。</p>
<p>所有獎勵金額的最終決定權將由Doist故障報告獎勵團隊所有。</p>
</div>
<h3>點擊以下按鈕來給我們發送報告</h3>
<a class="primary-button" href="https://todoist.com/contact?area=bug_bounty">提交一個漏洞</a>
<h2>聯絡方式</h2>
<div>如果您對於您報告的問題狀態或解決進展有疑問，您可以通過security@doist.com給我們發送郵件。</div>
</div>
</div>

Doist故障報告獎勵政策

如何聯絡我們

為什麼我的密碼不生效了？

我要如何退訂市場營銷郵件？

為什麼我無法查看附件？

我的Todoist註冊成了我的Apple ID帳號嗎？

Todoist提供開始日期嗎？

為什麼我不能將一個任務分配給多個人？

你們提供電話支持服務嗎？

Todoist出現了問題？

我可以合併不同的Todoist帳戶嗎？

任務是如何被排序的？

常見問題