Banger Mail menyambut penelitian keamanan dengan iktikad baik. Jika Anda merasa telah menemukan kerentanan di Banger Mail, kirim email ke security@team.bangermail.com. Sertakan host atau aplikasi yang terdampak, langkah reproduksi, perkiraan dampak, serta log atau tangkapan layar yang membantu kami memahami masalahnya. Saat ini kami tidak menerbitkan kunci PGP; hindari mengirim rahasia, data pribadi, atau konten kotak surat yang tidak diperlukan.
Cara melapor
Jika memungkinkan, kirim satu laporan per masalah. Berikan detail yang cukup agar kami dapat mereproduksi perilaku dengan aman, dan beri tahu apakah Anda menduga masalah tersebut sedang dieksploitasi secara aktif. Hentikan pengujian setelah Anda memiliki bukti yang cukup untuk menunjukkan kerentanan.
Cakupan
Dalam cakupan:
app.bangermail.com, aplikasi web Banger;api.bangermail.com, API Banger, termasuk server MCP diapi.bangermail.com/mcpdan endpoint OAuth-nya;auth.muchbetterapps.com, layanan masuk yang digunakan Banger (masih menggunakan nama perusahaan kami sebelumnya);cloud.bangermail.com, yang menangani koneksi kotak surat Google; danbangermail.com, situs publik, termasuk alat gratisnya.
Laporan tentang autentikasi, OAuth dan otorisasi agen, kunci API, izin alat MCP, akses lintas ruang kerja, perutean email, pengiriman pada domain pelanggan lain, perlindungan data kotak surat, atau data sensitif yang terekspos sangat berguna.
Di luar cakupan
Di luar cakupan: penolakan layanan atau pengujian otomatis bervolume tinggi, rekayasa sosial, serangan fisik, pengambilalihan akun akibat penggunaan ulang kata sandi, dan kerentanan yang hanya ada di layanan pihak ketiga yang tidak dioperasikan BangerMail Inc. Jangan melakukan spam, phishing, credential stuffing, mempertahankan akses, mengekstraksi data, atau melihat data melebihi yang diperlukan untuk membuktikan masalah.
SLA konfirmasi penerimaan
Kami akan mengonfirmasi penerimaan laporan dalam cakupan dalam 3 hari kerja dan dapat meminta detail tambahan selama penyelidikan. Kami memprioritaskan laporan berdasarkan kemungkinan dampak terhadap pengguna, kemudahan eksploitasi, dan apakah masalah tampaknya memengaruhi data kotak surat atau akses akun.
Perlindungan peneliti
Kami menganggap penelitian dengan iktikad baik sesuai kebijakan ini sebagai tindakan yang diizinkan. Jika Anda tetap dalam cakupan, menghindari pelanggaran privasi dan gangguan layanan, segera melaporkan akses tidak sengaja, dan tidak menyimpan atau membagikan data, kami tidak akan menempuh tindakan hukum atas penelitian tersebut.
Pengungkapan terkoordinasi
Periode pengungkapan terkoordinasi standar kami adalah 90 hari setelah konfirmasi penerimaan, kecuali disepakati lain bersama atau eksploitasi aktif memerlukan tindakan lebih cepat. Ini bukan program bug bounty berbayar.