Kami menghargai komunitas peneliti keamanan yang membantu menjaga RekberPay tetap aman bagi seluruh pengguna. Halaman ini menjelaskan cara melaporkan kerentanan, lingkup pengujian yang diperbolehkan, aturan main, dan kebijakan apresiasi kami.
1. Cara melaporkan
Kirim laporan ke email resmi kami, [email protected]. Sertakan deskripsi kerentanan, langkah reproduksi, dan dampak potensialnya. Lampirkan bukti (screenshot, request log, atau proof-of-concept seminimal mungkin).
Tim kami akan mengonfirmasi penerimaan laporan dalam waktu paling lambat 3 hari kerja. Setelah triage, kami akan memberi update berkala hingga masalah selesai diperbaiki.
Untuk komunikasi yang sensitif, sebutkan bahwa kamu butuh kanal terenkripsi dan kami akan memberikan kunci PGP atau saluran alternatif.
2. Lingkup
Yang termasuk dalam lingkup pelaporan:
- Domain utama
rekberpay.combeserta subdomainnya. - API publik di bawah path
/api/*. - Aplikasi web pengguna dan dashboard admin.
Yang tidak termasuk lingkup:
- Serangan denial-of-service (DoS/DDoS) terhadap infrastruktur produksi.
- Social engineering terhadap karyawan, mitra, atau pengguna RekberPay.
- Kerentanan pada layanan pihak ketiga yang kami gunakan (laporkan langsung ke vendor terkait).
- Temuan otomatis dari scanner tanpa bukti eksploitasi konkret atau dampak nyata.
3. Aturan bermain
Saat melakukan pengujian, mohon untuk:
- Tidak melakukan destructive testing: jangan menghapus, memodifikasi, atau merusak data milik pengguna lain atau sistem produksi.
- Tidak melakukan data exfiltration: berhenti segera setelah kerentanan terbukti, jangan mengakses lebih banyak data dari yang diperlukan untuk PoC.
- Hanya gunakan akun pengujian milikmu sendiri. Jangan akses akun, dana, atau dokumen KYC milik pengguna lain.
- Tidak mempublikasikan detail kerentanan sebelum kami merilis perbaikan dan menyetujui pengungkapan terkoordinasi.
- Patuhi hukum yang berlaku di Indonesia dan yurisdiksi kamu.
Selama kamu mengikuti aturan ini dengan itikad baik, kami tidak akan mengejar tindakan hukum atas riset keamanan yang kamu lakukan.
4. Hadiah
Saat ini RekberPay belum memiliki program bug bounty formal dengan skala pembayaran tetap. Untuk temuan yang signifikan dan berdampak nyata, kami dapat memberikan apresiasi diskresioner berupa hadiah tunai, merchandise, atau pengakuan publik di halaman ini.
Besaran apresiasi disesuaikan dengan tingkat keparahan, kualitas laporan, dan dampak terhadap pengguna. Kami berkomitmen memberi pengakuan kepada peneliti yang membantu kami melindungi pengguna.