November 2025: Artikel ini telah diperbarui untuk mencerminkan skema pembayaran bonus terbaru. Pembayaran maksimum telah naik dari 10.000 USD menjadi 100.000 USD.

Seperti halnya Proton Mail, Proton VPN kami bangun dengan menekankan aspek keamanan. Hari ini, kami meluncurkan program bug bounty untuk lebih meningkatkan keamanan Proton VPN.

Dalam mengoperasikan layanan VPN, keamanan dibutuhkan bukan hanya untuk koneksi dan protokol VPN itu sendiri. Keamanan juga diperlukan untuk infrastruktur server yang mendasarinya, halaman web dan dasbor, aplikasi VPN itu sendiri, sistem pembayaran, serta basis data pengguna. Untuk melindungi privasi pengguna dengan baik, semua aspek layanan harus dilindungi agar tidak dikompromikan.

Dalam membangun Proton VPN, kami memanfaatkan keahlian keamanan yang kami peroleh dari mengoperasikan layanan email aman terbesar di dunia(jendela baru). Kami juga bekerja sama dengan para kontributor keamanan Proton Mail(jendela baru) dan komunitas yang lebih luas untuk memperkuat semua aspek Proton VPN. Baru-baru ini, kami bekerja sama dengan Mazin Ahmed(jendela baru), kontributor keamanan Proton Mail yang sudah lama berkontribusi, untuk menyelesaikan audit keamanan menyeluruh atas Proton VPN dan menambahkan pengerasan tambahan.

Program bug bounty kami memungkinkan kami memperluas pekerjaan yang sudah kami lakukan setiap hari untuk melindungi pengguna Proton VPN. Karena itu, setelah Proton VPN resmi diluncurkan, salah satu hal pertama yang kami lakukan adalah meluncurkan Program Bug Bounty Proton VPN. Melalui program ini, kami mengundang para ahli keamanan dari seluruh dunia untuk mencoba menemukan celah dalam Proton VPN, dan kami akan memberikan imbalan (bounty) untuk isu keamanan yang dilaporkan kepada kami melalui program ini. Jika Anda seorang peneliti keamanan, Anda juga dapat berpartisipasi dalam Program Bug Bounty Proton Mail(jendela baru).

Program Bug Bounty Proton VPN

Aturan

Cakupan: Program ini terbatas pada server serta aplikasi web, desktop, dan seluler yang dijalankan oleh Proton VPN. Profil kami di Facebook, Twitter, Linkedin, Eventbrite, dan lain-lain tidak termasuk. Situs yang memenuhi syarat meliputi:

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [Catatan: .ch dan bukan .com]

Aplikasi Proton VPN di Windows, MacOS, Linux, iOS, dan Android juga termasuk dalam program ini.

Penjurian: Panel juri yang menentukan penghargaan terdiri dari para pengembang Proton VPN dan Proton Mail, dibantu oleh satu atau beberapa ahli eksternal yang merupakan bagian dari grup keamanan kami. Peserta program setuju untuk menghormati keputusan akhir para juri.

Pengungkapan yang bertanggung jawab: Kami meminta semua kerentanan dilaporkan kepada kami di security@proton.me. Menurut kami, mengungkapkan celah kepada pihak ketiga untuk tujuan selain benar-benar memperbaiki bug bertentangan dengan semangat program ini. Peserta setuju untuk tidak mengungkapkan bug yang ditemukan sebelum bug tersebut diperbaiki dan untuk mengoordinasikan pengungkapan dengan tim kami melalui catatan rilis agar tidak menimbulkan kebingungan.

Pengujian yang bertanggung jawab: Jangan meretas akun pengguna, merusak basis data, atau membocorkan data yang mungkin bersifat sensitif. Kami juga tidak menyarankan pengujian kerentanan yang menurunkan kualitas layanan bagi pengguna. Jika ragu, silakan hubungi Tim Keamanan kami di security@proton.me.

Kepatuhan pada aturan: Dengan berpartisipasi dalam program ini, Anda setuju untuk mematuhi aturan dan ketentuan di atas. Semua aturan harus dipatuhi agar memenuhi syarat untuk menerima penghargaan.

Kerentanan yang memenuhi syarat

Setiap isu desain atau implementasi yang secara signifikan memengaruhi kerahasiaan atau integritas data pengguna kemungkinan termasuk dalam cakupan program. Hal ini meliputi, tetapi tidak terbatas pada:

Aplikasi web

  • Skrip lintas situs
  • Pemalsuan permintaan lintas situs
  • Skrip konten campuran
  • Cacat autentikasi atau otorisasi
  • Bug eksekusi kode di sisi server
  • Kerentanan REST API

Server

  • Akses shell tanpa izin
  • Peningkatan hak akses
  • Eksekusi kode jarak jauh

Aplikasi

  • Cacat autentikasi atau otorisasi
  • Pembobolan keamanan data lokal (tanpa rooting)

Kami percaya pada kerja sama yang erat dengan para peneliti keamanan dan bersedia membagikan rincian teknis seperti spesifikasi API, kode sumber, atau rincian infrastruktur kepada peneliti terpilih dengan tujuan meningkatkan keamanan bagi semua pengguna Proton Mail. Hubungi security@proton.me untuk rincian lebih lanjut.

Peningkatan yang memenuhi syarat

Kadang-kadang, bounty diberikan untuk saran perbaikan yang tidak termasuk dalam kategori di atas. Hal ini ditentukan oleh tim kami berdasarkan kasus per kasus. Saran tersebut meliputi hal-hal seperti:

  • Peningkatan konfigurasi server
  • Konfigurasi firewall
  • Perlindungan DoS/DDoS yang lebih baik
  • Pengungkapan jalur/informasi

Kerentanan yang tidak memenuhi syarat

  • Cacat yang berdampak pada peramban usang (maaf, isu keamanan IE6 tidak memenuhi syarat)
  • Isu keamanan di luar cakupan model ancaman Proton VPN
  • Serangan phishing(jendela baru) atau rekayasa sosial
  • Bug yang memerlukan interaksi pengguna yang sangat tidak mungkin terjadi
  • Bug WordPress (silakan laporkan kepada WordPress)
  • Perangkat lunak usang: karena berbagai alasan, kami tidak selalu menjalankan versi perangkat lunak terbaru, tetapi kami menjalankan perangkat lunak yang sudah ditambal sepenuhnya.
  • Bug perangkat lunak di OpenVPN atau IKEv2 (silakan laporkan kepada pengembangnya)

Besaran imbalan

Besaran bounty yang kami bayarkan ditentukan berdasarkan kasus per kasus dan sebagian besar bergantung pada tingkat keparahan isu. Untuk menerima bounty, Anda biasanya harus menjadi orang pertama yang melaporkan isu, meskipun kadang-kadang ada pengecualian. Panduan umum besaran bounty tersedia di bawah ini:

  • Imbalan maksimum: 100.000 USD.
  • Tingkat keparahan kritis: 25.000 USD – 50.000 USD — Penemuan kerentanan yang memungkinkan kendali penuh tanpa izin secara berkelanjutan atas lingkungan layanan, atau mengompromikan kerahasiaan atau integritas data semua pengguna tanpa memerlukan kondisi khusus atau akses sebelumnya.
  • Tingkat keparahan tinggi: 2.500 USD – 25.000 USD — Penemuan kerentanan yang menyebabkan kendali tanpa izin secara berkelanjutan atas sebagian besar lingkungan layanan, atau pembobolan signifikan terhadap kerahasiaan atau integritas data yang memengaruhi banyak pengguna — tanpa memerlukan kondisi khusus atau akses sebelumnya — tetapi belum sampai mengompromikan layanan secara penuh.
  • Tingkat keparahan sedang: 1.000 USD – 2.500 USD — Penemuan kerentanan yang memungkinkan kendali tanpa izin atas sebagian lingkungan layanan, atau mengompromikan integritas atau kerahasiaan data pengguna untuk satu pengguna atau grup kecil. Sebagai alternatif, kerentanan dengan dampak yang lebih luas yang memerlukan interaksi pengguna yang signifikan atau kondisi tertentu, tetapi tetap menyebabkan tereksposnya data atau kendali yang sensitif.
  • Tingkat keparahan rendah: Kasus per kasus, tanpa imbalan moneter secara bawaan — Penemuan kerentanan dengan dampak terbatas atau dengan kondisi yang kecil kemungkinannya.

Panduan Pelaporan

Laporkan isu ke security@proton.me. Isu harus dilaporkan dengan instruksi yang jelas tentang cara mereproduksi isu dan/atau bukti konsep.

Salam Hormat,
Tim Proton