In Scope
| Asset | Keterangan |
|---|
| https://cyberagent.id | Halaman utama & autentikasi (login/register, OAuth) |
| https://www.cyberagent.id | Alias utama (sama dengan apex) |
| https://docs.cyberagent.id | Dokumentasi publik |
| /api/* | API endpoints (auth, audit, billing, webhooks, agent) |
| Dashboard / Audit Engine | Alur audit, live session, report, billing & kredit |
Out of Scope (TIDAK untuk diuji)
- ✕ Infrastruktur & hosting (VPS, cloud provider, jaringan internal)
- ✕ Layanan email & DNS (Hostinger, registrar, MX/SPF/DKIM records)
- ✕ Layanan pihak ketiga (Cloudflare, OAuth Google/GitHub, Midtrans, Turnstile)
- ✕ Denial of Service, stress test berlebihan, brute force massal
- ✕ Social engineering, phishing terhadap pengguna/staf
- ✕ Serangan fisik, akses ke perangkat keras
- ✕ Akun pengguna lain tanpa izin (IDOR/BOLA harus dilaporkan tanpa eksploitasi data)
- ✕ Self-XSS, vulnerability yang butuh korban mengeksekusi sendiri
- ✕ Rate limit abuse / spam volume (bukan bug, by design)
- ✕ Scan otomatis massal, scraping agresif, vulnerability scanner tanpa izin
Eligibility & Rules
- ✓ Laporan harus menyertakan PoC yang jelas (langkah reproduksi)
- ✓ Jangan eksfiltrasi data pengguna — buktikan kerentanan dengan data dummy Anda sendiri
- ✓ Jangan menghancurkan/mengubah data — semua tes harus non-destruktif
- ✓ Laporkan 1 kerentanan per form/laporan
- ✓ Beri waktu tim kami 5–7 hari kerja untuk merespons
- ✓ Setelah laporan diterima, jangan publikasikan sebelum kami rilis perbaikan
- ✓ Bot/honeypot/akun dummy boleh dibuat untuk pengujian
Reward
Reward diberikan per kasus (discretionary):
- ✓ Critical (RCE, auth bypass, data leak massal): hingga Rp 2.000.000
- ✓ High (SQLi, SSRF, privilege escalation): hingga Rp 1.000.000
- ✓ Medium (XSS stored, IDOR terbatas): hingga Rp 500.000
- ✓ Low / informational: kredit audit gratis (10–50 kredit)
Laporkan Temuan
Kirim laporan dengan format: Judul · Asset · Severity · Langkah Reproduksi (PoC) · Dampak · Remediasi yang disarankan. Sertakan screenshot bila memungkinkan.
security@cyberagent.id (PGP tersedia — request via email)