Program de Bug Bounty

Securitatea datelor clienților noștri este o prioritate. Acest program definește regulile prin care poți testa, în mod legal și de bună-credință, platforma noastră și prin care ne poți raporta problemele găsite.

Programul este operat direct de DC MARKET (auto-găzduit), fără platformă intermediară. Toate rapoartele, triajul, remedierea și plata recompenselor sunt gestionate de echipa noastră tehnică.

Prin participare, ești de acord cu regulile de mai jos. Îți recomandăm să le citești integral înainte de a începe testarea.

Vulnerabilitățile din platforma Shopify se raportează direct către Shopify. Dacă nu ești sigur că un activ este în domeniu, întreabă-ne înainte de a testa.

Ne interesează în special problemele cu impact real asupra confidențialității, integrității sau disponibilității datelor, de exemplu:

• Cross-Site Scripting (XSS) cu impact demonstrabil
• Cross-Site Request Forgery (CSRF) pe acțiuni sensibile
• Injecții (SQL, comenzi, template) și Server-Side Request Forgery (SSRF)
• Ocolirea autentificării sau a controlului de acces, IDOR
• Execuție de cod la distanță (RCE)
• Expunerea datelor cu caracter personal ale clienților
• Erori de logică de business cu impact financiar sau asupra datelor

Următoarele nu se califică, de regulă, pentru o recompensă (fără un impact concret demonstrat):

• Self-XSS sau probleme care necesită interacțiune improbabilă a victimei
• Lipsa unor anteturi de securitate sau a flag-urilor pe cookie, fără exploatare
• Configurări SPF, DKIM sau DMARC, fără un atac funcțional
• Clickjacking pe pagini fără acțiuni sensibile
• Divulgarea versiunilor de software sau mesaje de eroare informative
• Rezultate brute de la scanere automate, fără validare manuală
• Probleme care necesită un dispozitiv sau un browser învechit / compromis
• Rapoarte de tip „bună practică", fără risc de securitate

• Testează doar pe conturi proprii, de test. Nu accesa date care nu îți aparțin.
• Oprește-te la prima dovadă a conceptului (PoC). Nu escalada și nu persista accesul.
• Nu modifica, nu șterge și nu exfiltra date. Nu degrada serviciul pentru alți utilizatori.
• Fără DoS/DDoS, fără forță brută și fără scanări automate cu volum mare.
• Fără inginerie socială, phishing sau atacuri fizice.
• Respectă legislația aplicabilă și confidențialitatea datelor cu caracter personal.
• Un raport pentru o singură vulnerabilitate. Raportează cât mai repede după descoperire.

Recompensele se acordă în RON, în funcție de severitatea evaluată (orientativ, pe baza CVSS). Intervalele de mai jos sunt orientative; suma finală este stabilită de DC MARKET în funcție de impactul real, calitatea raportului și ușurința exploatării.

Se recompensează primul raportor al unei vulnerabilități valide și unice. Rapoartele duplicate, cele deja cunoscute intern sau cele în afara domeniului nu sunt eligibile. Recompensa se plătește după confirmarea și remedierea problemei.

Aplicăm divulgarea coordonată. Raportează-ne problema în privat și acordă-ne un termen rezonabil pentru remediere, de regulă până la 90 de zile.

Nu divulga public vulnerabilitatea (parțial sau integral) fără acordul nostru scris prealabil. După remediere, putem conveni împreună asupra unei divulgări coordonate și, dacă dorești, îți putem recunoaște public contribuția.

• Primul răspuns: în maximum 2 zile lucrătoare de la raportare.
• Triaj și confirmare: în maximum 5 zile lucrătoare.
• Remediere: în funcție de severitate, prioritizăm problemele critice și ridicate.
• Plata recompensei: după confirmarea remedierii și validarea finală a raportului.

Considerăm cercetarea de securitate realizată cu bună-credință și în conformitate cu aceste reguli ca fiind autorizată. Nu vom iniția și nu vom recomanda acțiuni legale împotriva ta pentru o astfel de cercetare, atât timp cât respecți integral prezentul program.

Dacă, în cursul testării, întâlnești date cu caracter personal ale altor persoane, oprește-te imediat, nu le accesa, nu le stoca și nu le divulga, și semnalează-ne situația. Conformitatea cu GDPR este obligatorie.

Această autorizare nu se extinde asupra activelor din afara domeniului și nu te exonerează de răspundere pentru încălcarea legii sau a regulilor de mai sus.

• Trebuie să ai cel puțin 18 ani sau acordul reprezentantului legal.
• Nu ești angajat, colaborator sau rudă apropiată a acestora la DC MARKET.
• Nu te afli într-o jurisdicție supusă sancțiunilor care ar interzice plata recompensei.
• Respecți legislația aplicabilă din România și din țara ta de reședință.

Trimite raportul pe e-mail. Un raport bun scurtează timpul până la recompensă. Include, pe cât posibil:

• Descrierea vulnerabilității și a impactului
• Pașii de reproducere, pas cu pas
• Dovada conceptului (PoC): capturi, request-uri, scurt video
• URL-ul / componenta afectată și severitatea estimată
• Datele tale de contact pentru acordarea recompensei

Acceptăm rapoarte în limba română sau engleză. Dacă dorești comunicare criptată, menționează acest lucru în primul mesaj și îți trimitem detaliile.

• v2.1 · 9 septembrie 2025

  Actualizarea intervalelor de recompensă și clarificări privind domeniul de aplicare.

• v2.0 · 3 martie 2025

  Extinderea domeniului, excluderea explicită a infrastructurii Shopify și a serviciilor terțe.

• v1.1 · 20 octombrie 2024

  Adăugarea clauzei de safe harbor și a termenilor de divulgare coordonată.

• v1.0 · 15 aprilie 2024

  Lansarea programului de bug bounty DC MARKET.