Kebijakan Pengungkapan Keamanan

1. Ruang Lingkup

Lingkup pelaporan mencakup aset produksi yang kami operasikan langsung:

• Website ini, www.growtechcentral.com, beserta API-nya: server yang kami jalankan sendiri.
• growblox.id, alamat lama situs ini: sekarang meneruskan pengunjung ke www.growtechcentral.com dan masih menjawab panggilan API.
• API publik dan endpoint autentikasi yang dapat dijangkau dari domain di atas.

2. Di Luar Ruang Lingkup

• Lingkungan development, staging, atau preview (mis. domain bertanda -dev, -staging, -preview).
• Rekayasa sosial terhadap karyawan, mitra, atau pengguna kami.
• Serangan fisik terhadap kantor, data center, atau perangkat staf.
• Denial-of-service (DoS/DDoS), brute force volumetrik, atau pengujian beban tanpa koordinasi.
• Temuan otomatis dari scanner tanpa bukti dampak nyata (mis. header informasi, versi software publik, SPF/DMARC pada subdomain tidak digunakan).
• Alamat lain di bawah growtechcentral.com yang tidak menyajikan website ini, misalnya gerbang proxy proxy.growtechcentral.com: berjalan di infrastruktur mitra, bukan di server kami. Kabari kami kalau menemukan sesuatu, tapi jangan mengujinya.

3. Cara Melapor

Kirim email ke [email protected]. Untuk konten sensitif, silakan minta kunci PGP terlebih dahulu melalui email yang sama.

Sertakan informasi berikut agar triase cepat:

• Ringkasan kerentanan dan komponen yang terdampak.
• Langkah reproduksi yang jelas (request HTTP, payload, screenshot, atau video pendek).
• Dampak yang diobservasi atau berpotensi terjadi (kebocoran data, eskalasi hak akses, dst.).
• Saran mitigasi bila ada - sangat membantu mempercepat fix.
• Akun uji yang Anda gunakan (jangan gunakan akun pengguna lain tanpa izin tertulis dari pemiliknya).

4. SLA Respons

Kami berkomitmen pada tenggat berikut, dihitung sejak laporan masuk dalam jam kerja (WIB):

• Acknowledge laporan: maksimum 48 jam. Anda akan menerima konfirmasi bahwa email telah diterima dan sedang diteruskan ke tim keamanan.
• Triage dan severity assessment: maksimum 7 hari. Kami akan mengirim klasifikasi awal dan rencana penanganan.
• Perbaikan untuk severity critical: maksimum 30 hari. High/medium/low akan dikomunikasikan secara terpisah sesuai konteks.
• Kami akan memberi update berkala selama proses fix dan memberitahu saat patch sudah ter-deploy.

5. Safe Harbor

Riset keamanan yang dilakukan dengan itikad baik dan mengikuti kebijakan ini tidak akan kami tindak secara hukum. Selama Anda:

• Berhenti menggali begitu kerentanan terbukti dan tidak mengeksfiltrasi data lebih dari yang diperlukan untuk PoC.
• Tidak mempublikasikan detail kerentanan sebelum kami menyelesaikan perbaikan atau menyetujui jadwal disclosure.
• Tidak menggunakan temuan untuk merugikan pengguna atau pihak ketiga.

Klausul safe harbor ini tidak menjangkau aktivitas yang melanggar hukum pidana yang berlaku di Indonesia maupun yurisdiksi tempat Anda berada.

6. Apresiasi

Peneliti yang membantu kami melalui jalur ini akan kami cantumkan - atas izin - di halaman penghargaan. Saat ini kami belum menyediakan bug bounty berbayar, namun kebijakan ini akan diperbarui bila program tersebut diluncurkan.