Kebijakan Keamanan

Komitmen Kami

Apipay menghargai kerja peneliti keamanan yang membantu kami menemukan dan memperbaiki kerentanan secara bertanggung jawab. Kami menerima laporan kerentanan yang mencakup aset-aset yang tercantum pada bagian Ruang Lingkup di bawah ini.

Tidak Ada Imbalan Uang

Apipay saat ini tidak menjalankan program bug bounty dan tidak menawarkan imbalan dalam bentuk uang atau kredit atas laporan kerentanan. Kami tetap membaca dan menindaklanjuti setiap laporan yang valid, dan dapat memberikan ucapan terima kasih secara terbuka (dengan persetujuanmu) atas kontribusimu.

Cara Melaporkan

Kirimkan laporan ke security@apipay.id. Sertakan:

• deskripsi kerentanan
• langkah reproduksi
• dampak yang mungkin terjadi
• URL atau endpoint API yang terdampak

Untuk informasi sensitif, anda dapat mengenkripsi email menggunakan kunci PGP publik kami di apipay.id/.well-known/pgp-key.txt.

Ruang Lingkup

Masuk ruang lingkup:

• Domain : apipay.id
• API : api.apipay.id
• Dashboard : console.apipay.id
• QRIS Host : qr.apipay.id
• Payment Link : pay.apipay.id
• Checkout Page : checkout.apipay.id
• Official SDK : docs.apipay.id/docs/sdk
• CLI : docs.apipay.id/docs/cli
• Lainnya : subdomain *.apipay.id lainnya

Di luar ruang lingkup:

• infrastruktur milik penyedia jasa pembayaran (PJSP) atau pihak ketiga lain yang bekerja sama dengan kami
• serangan rekayasa sosial (phishing, vishing) terhadap karyawan atau pengguna
• serangan fisik
• spam
• pengujian denial-of-service (DoS/DDoS)

Pedoman Pengujian

Saat melakukan pengujian, mohon:

• hanya mengakses data yang diperlukan untuk membuktikan kerentanan, tanpa mengakses, memodifikasi, atau menghapus data milik pengguna lain lebih dari yang diperlukan
• tidak melakukan pengujian yang dapat mengganggu ketersediaan Layanan bagi pengguna lain
• tidak mempublikasikan kerentanan secara publik sebelum kami memberi konfirmasi perbaikan
• memberi kami waktu yang wajar untuk menindaklanjuti sebelum pengungkapan publik

Safe Harbor

Apipay tidak akan mengambil tindakan hukum terhadap peneliti yang melakukan pengujian dengan niat baik dan mengikuti kebijakan ini. Jika pihak ketiga mengambil tindakan hukum terkait aktivitasmu yang sesuai dengan kebijakan ini, kami akan menyatakan bahwa aktivitas tersebut dilakukan dengan otorisasi dari kami.

Kontak

Laporan kerentanan dapat dikirim ke security@apipay.id.