Bug Ödül Programı
Açık bulun, ödülünüzü alın Kritik açıklar için 200.000 ₺'ye kadar
Ürünlerimizde, yani web sitelerimizde, panellerde, API'lerde ve yardımcı araçlarda bulduğunuz güvenlik açığını bize bildirin. Ödül tablomuz, sürecin nasıl işlediği ve ödeme koşulları bu sayfada yazıyor.
- Güvenli liman (safe harbor)
- İlk yanıt: 5 iş günü
- Ödeme: onaydan sonra 30 gün
- Kapsam: tüm NeoCore ürünleri
Ödül Tablosu (Özet)
- Kritik200.000 ₺
- Yüksek60.000 ₺
- Orta20.000 ₺
- Düşük6.000 ₺
İletişim
Acil durumlarda (aktif istismar, veri sızıntısı) telefon: +90 545 296 32 21 (mesai saatleri 09:00-18:00).
Künye
Program özeti
Başlangıç
1 Temmuz 2024
Programın yayına alındığı gün. Ödül tablosu ve kurallar aynı gün yürürlüğe girdi.
Son güncelleme
3 Kasım 2026
Ödül tutarları sabit Türk lirası tutarlarına çevrildi. Daha eski güncellemeler bu sayfadaki değişiklik listesinde.
En yüksek ödül
200.000 ₺
Tek bir kritik bulgu için üst sınır. Ödemeler Türk lirası olarak banka havalesiyle yapılır.
Bildirim kanalı
destek@neo-core.com.tr
Raporlarınızı yalnızca bu adrese gönderin. Acil durumlarda telefon kanalını kullanın: +90 545 296 32 21.
Ödüllendirme
Şiddet bazlı ödül tablosu
Tutarlar tek bir bulgu için geçerlidir ve Türk lirası bazındadır. Nihai şiddet, NeoCore güvenlik ekibi tarafından CVSS v3.1 ve OWASP Risk Rating rehberleri dikkate alınarak belirlenir.
- Kritik
200.000 ₺’ye kadar
Uzaktan kod çalıştırma (RCE), oturum açmayı atlatan hatalar, üretim veritabanına SQL enjeksiyonu, başka müşterimizin verisine erişim (IDOR) ve ödeme akışını değiştirebilen hatalar.
- Yüksek
60.000 ₺’ye kadar
Oturum çalmaya yol açan depolanmış XSS, iç servisleri hedefleyen SSRF, rol atlaması ve KVKK kapsamındaki kişisel veri sızması.
- Orta
20.000 ₺’ye kadar
İşe yarar bir senaryoda yansıyan XSS, kritik işlemlerde CSRF, e-fatura imza doğrulamasını atlatan hatalar ve başka firmaya ait belge bilgisinin açığa çıkması.
- Düşük
6.000 ₺’ye kadar
Etkisi sınırlı bilgi sızması (dahili yol, sürüm bilgisi), eksik güvenlik başlıkları gibi durumlar. Bu sınıftaki bildirimlerin çoğu ödül yerine teşekkür ve onur listesiyle kapanır.
Ödüller takdirimize bağlıdır. Belirtilen tutarlar üst sınırdır; ödeme, raporun kalitesi, doğrulanabilirliği ve etkisi dikkate alınarak belirlenir.
Ödeme Koşulları
Ödüller nasıl ve ne zaman ödenir?
Ödeme sürecini adım adım aşağıda yazdık: kanal, kimlik kontrolü, vergi kesintisi ve zamanlama.
Kim ödül alır
Ödülü ilk geçerli raporu gönderen kişi alır. Aynı kökenden gelen mükerrer raporlar ödüllenmez; ilk e-postanın zaman damgası esas alınır.
Ödeme zamanlaması
Onaydan sonra, düzeltme üretime alındıktan sonraki 30 gün içinde ödenir. Düzeltme planı: kritik 30, yüksek 60, orta ve düşük 90 gün.
Ödeme yöntemi
Tutarlar TL üzerindendir ve Türkiye’deki bir banka hesabına EFT ya da havaleyle ödenir. Yabancı para hesabına ödeme yapılmaz.
Kimlik doğrulama ve mutabakat
KVKK yükümlüğümüz gereği ödemeden önce kimlik kontrolü yapılır, imzalı bir mutabakat (telif beyanı) formu isteriz.
Vergisel kesintiler
Ödeme, mevzuat gereği brüt tutardan yasal stopaj ve diğer kesintiler düşülerek net yapılır. İsterseniz kesinti belgelerini göndeririz.
Takdir hakkı
Tutarlar üst sınırdır ve ödül verip vermemek takdirimize bağlıdır. Etkisi büyük ve kaliteli raporlarda ödül üst sınıra kadar yükseltilebilir; kapsam dışı bildirimlere ödeme yapılmaz.
Ödül alamayanlar
NeoCore çalışanı, taşeronu ve birinci derece yakını ödül alamaz. Veli onayı olmayan 18 yaş altı da ödül talep edemez.
Program Günlüğü
Değişiklik günlüğü
Program şartnamesi üzerinde yapılan güncellemeler, en yenisi üstte olacak şekilde listelenir.
- 3 Kasım 2026
Ödül tablosu dolar bazından sabit TL tutarlarına çevrildi. Düşük sınıf için asgari 1.000 ₺ belirlendi.
- 12 Mayıs 2025
Onur listesi bölümü eklendi. Ödeme mutabakatı için imzalı PDF desteği başladı.
- 14 Ağustos 2024
Defterim Güvende panel ve API uçlarının tamamı kapsama girdi. İlk yanıt hedefi 7 iş günü yerine 5 iş günü oldu.
- 1 Temmuz 2024
Program yayına alındı; ilk ödül tablosu, kapsam ve kurallar yayımlandı.
Kapsam
Ürünlerimizde nerede, ne kadar test edebilirsiniz?
Kapsam Alan adlarıyla sınırlı değildir: NeoCore markasıyla sunulan herhangi bir ürün veya serviste bulduğunuz güvenlik açığı geçerlidir. Aşağıda listelenmeyen her şey kapsam dışıdır.
Kapsam dahilinde
- NeoCore’un sahibi olduğu tüm alan adları ve alt alan adlarındaki web uygulamaları (neo-core.com.tr, defterimguvende.com ve diğerleri)
- Ürünlerimizin panel ve API uçları (giriş gerektiren akışlar dahil)
- E-belge görüntüleyici gibi ürünlere bağlı yardımcı araçlar
- Yeni yayımlanan ürünler: sayfada ayrı listelenmemiş olsa dahil, NeoCore markasıyla sunulan her ürün kapsamdadır
Kapsam dışında
- Üçüncü taraf SaaS altyapıları (e-posta sağlayıcı, CDN, ödeme sağlayıcı)
- Hacimli testler: DoS/DDoS, brute force, kaynak tüketimi
- Sosyal mühendislik, kimlik avı ve fiziksel sızma
- Etkisi sınırlı bulgular: self-XSS, eksik güvenlik başlıkları, PoC’suz otomatik tarayıcı çıktısı, spam
Süreç
Bir açık bildirdiğinizde ne olur?
Raporunuz e-postayla bize ulaşır; değerlendirmeyi aynı yazışma üzerinden sürdürürüz.
- Adım 1
Raporlayın
destek@neo-core.com.tr adresine konuya “Bug Bounty” yazarak e-posta gönderin. Rapora etkilenen adres, adım adım yeniden üretim, PoC (HTTP isteği, ekran görüntüsü ya da video) ve etkiyi açıklayan bir cümle ekleyin. Test için hesap gerekiyorsa yazın, hesap açarız.
- Adım 2
Değerlendirelim
İlk yanıtı 5 iş günü içinde yazarız. Kabul ya da mükerrer kararını en geç 10 iş günü içinde e-postayla bildiririz. Ek bilgi isteriz; 5 iş günü içinde dönüş yapılmazsa raporu kapatırız.
- Adım 3
Düzeltip ödeyelim
Onaylı bulgular kritik 30, yüksek 60, orta ve düşük 90 gün içinde düzeltilir. Düzeltme üretimdeyken mutabakat formu imzalanır, ödül 30 gün içinde havalenir. Yayımlamak size bağlıdır; tek koşul 90 günü beklemektir.
Kurallar
İyi niyetli araştırmayı koruma altına alıyoruz
Kurallara uymayan davranış, hem ödül hakkını hem de güvenli liman kapsamını kaybettirir.
Güvenli liman
Bu kurallara uyarak, iyi niyetle çalıştığınız sürece size karşı hukuki işlem başlatmayız. Güvence, mevzuatın el verdiği ölçüde geçerlidir.
Sorumlu açıklama
Bulgunuzu yayımlamadan önce bize 90 gün tanıyın. Kritik bulgularda süreyi düzeltme bitene kadar uzatabiliriz.
Veri sınırı
Testi yalnızca kendi açtığınız ya da yazılı izinli hesaplarda yapın. Gerçek müşteri verisine denk gelirseniz indirmeyin, kopyalamayın, hemen bize yazın. Kanıt için birkaç örnek kayıt yeterlidir.
KVKK ve onur listesi
Raporunuz yalnızca bu programı yürütmek için işlenir, KVKK’ya uygun saklanır, dilediğinizde silinir. Onur listesine girmek için ayrıca izninizi alırız.
Bir açığı bugünden bildirin
Saldırı ya da veri sızması görürseniz gecikmeden telefonu kullanın. Standart raporlarda e-posta yeterlidir.
Bu program, NeoCore Yazılım ve Teknoloji Hizmetleri Limited Şirketi tarafından yürütülür. Adres: Adalet Mah. Manas Blv. Folkart Towers No: 39 İç Kapı No: 2511 Bayraklı/İzmir. Program sorumlusu: destek@neo-core.com.tr. Ödül tablosu, kapsam ve kurallar önceden haber verilmeksizin güncellenebilir; güncel sürüm her zaman bu sayfada yayımlanır. Program gerektiğinde sona erdirilebilir; sona erme öncesinde bildirilmiş raporlar bu koşullara göre değerlendirilir. Program hükümleri Türkiye Cumhuriyeti mevzuatına tabidir. Milli düzeyde bildirim için USOM (usom.gov.tr) kanalı da kullanılabilir.