cyberagent.id · docs Responsible Disclosure

Vulnerability Disclosure Policy

Kami menerima laporan kerentanan keamanan dari peneliti independen. Setiap laporan diverifikasi dan ditindaklanjuti oleh engineer kami. Kebijakan ini bersifat pengakuan (recognition-only): tidak ada imbalan uang atau hadiah atas laporan yang diterima.

Program perkenalan

Audit keamanan gratis

Kami mengerjakan satu audit penuh tanpa biaya — standar dan kedalaman yang sama seperti engagement berbayar. Sebagai gantinya kami meminta satu hal: recognition, berupa izin mencantumkan engagement ini sebagai referensi portofolio cyberagent.id. Identitas kamu boleh tetap anonim.

ID/EN

Komitmen Kami

✓ Konfirmasi penerimaan laporan dalam 45 menit pada jam operasional (WIB), maksimal 1 hari kerja di luar jam operasional.
✓ Verifikasi temuan, penetapan prioritas, dan pemberitahuan saat perbaikan dirilis.
✓ Pengakuan publik bila diinginkan — anonim diperbolehkan.
✓ Safe harbor untuk pengujian yang mengikuti kebijakan ini.

Tanpa imbalan. Kami tidak menjalankan program bug bounty berbayar. Tidak ada pembayaran maupun hadiah fisik untuk laporan kerentanan.

Cakupan

Aset	Keterangan
cyberagent.id	Situs publik dan halaman kebijakan yang dilayani dari domain ini
www.cyberagent.id	Alias domain utama
docs.cyberagent.id	Dokumentasi publik dan halaman legal

Belum dalam cakupan: dashboard dan API publik berstatus coming soon dan belum menerima lalu lintas produksi.

Di Luar Cakupan

✕ Infrastruktur, hosting, DNS, dan penyedia email
✕ Layanan pihak ketiga
✕ Denial of service, stress test, brute force bervolume besar
✕ Social engineering dan phishing
✕ Serangan fisik dan pengujian perangkat keras
✕ Self-XSS dan isu yang memerlukan korban mengeksekusi skrip sendiri
✕ Ketiadaan header tanpa dampak terukur
✕ Rate limit dan spam (by design)
✕ Data pengguna lain — dilaporkan tanpa diunduh atau disimpan
✕ Pemindaian otomatis massal tanpa koordinasi

Aturan Pengujian

✓ Non-destruktif: jangan mengubah, menghapus, atau merusak data dan konfigurasi.
✓ Gunakan data uji milikmu sendiri sebagai bukti dampak.
✓ Bila menjumpai data sensitif, berhenti dan laporkan — jangan lanjutkan eksplorasi.
✓ Satu laporan untuk satu isu, dengan langkah reproduksi yang jelas.
✓ Jangan publikasikan temuan sebelum perbaikan dirilis dan disepakati.

Cara Melapor

Judul dan aset terdampak (URL/endpoint persis)
Severity perkiraan dan skor CVSS bila tersedia
Langkah reproduksi yang bisa dijalankan ulang dari kondisi bersih
Bukti: request/response lengkap, timestamp, screenshot
Dampak nyata yang dapat dibuktikan — bukan potensi teoretis
Saran remediasi, bila ada

founder@cyberagent.id

Kunci PGP publik: pgp-key.txt — sidik jari DE7B 6FDA 244D 7C46 276E 698D EC00 5A8B FB97 D999. Kirim laporan terenkripsi ke security@cyberagent.id.

Proses Penanganan

Tahap	Yang terjadi
Konfirmasi	Laporan dicatat dan dikonfirmasi (45 menit pada jam operasional)
Triase	Validasi reproduksi, penetapan severity, keputusan perbaikan
Perbaikan	Critical ditargetkan 7 hari, High 14 hari, sisanya mengikuti siklus rilis
Verifikasi	Pemberitahuan setelah perbaikan dirilis
Publikasi	Koordinasi pengungkapan (bawaan 90 hari) dan pencatatan pengakuan

Pengakuan

Nama atau handle pelapor dicantumkan setelah perbaikan dirilis, kecuali kamu memilih anonim. Temuan informasional tetap kami balas melalui email — tanpa pencantuman pada daftar pengakuan.