سياسة الإفصاح عن الثغرات الأمنية

نحن نأخذ الأمن على محمل الجد ونُقدّر مساهمات الأفراد المهتمين بالأمان الذين يساعدون في الحفاظ على أمان مجتمعنا. إذا كنت تعتقد أنك اكتشفت مشكلة أمنية داخل منصتنا، فإننا نحثك على الإبلاغ عنها فورًا. نحن نلتزم بالتحقيق في كل بلاغ وسنعمل معك عن كثب للتحقق من الثغرات الأمنية المؤكدة ومعالجتها. نطلب منك التكرم بالحفاظ على سرية هذه المعلومات حتى يتم حل المشكلة، لحماية مجتمعنا.

نطاق السياسة

تُطبق هذه السياسة على جميع المواقع الإلكترونية والخدمات التي نديرها. إذا كنت غير متأكد من نطاق الثغرة الأمنية التي اكتشفتها، فيرجى الالتزام بالإرشادات الواردة هنا.

إجراء أبحاث الثغرات الأمنية

نرحب بإجراء اختبارات أمنية مسؤولة على خدماتنا التي لديك صلاحية وصول مصرح بها إليها. ومع ذلك، يجب ألا يشمل بحثك ما يلي:

1. انتهاك أي قوانين.
2. تعديل أو حذف بيانات لا تخصك.
3. الوصول أو محاولة الوصول إلى بيانات غير مصرح بها.
4. تنفيذ هجمات حجب الخدمة (DoS).
5. إجراء اختبارات التحميل.

يمكن النظر في الاستثناءات بعد الإبلاغ الأولي، وذلك وفقًا لتقدير فريق الأمن لدينا.

إرشادات الإبلاغ

للإبلاغ عن مشكلة، يرجى إرسال نتائجك عبر البريد الإلكتروني إلى security@ideanote.io مع التفاصيل التالية:

• الهدف: حدد مكان وجود الثغرة الأمنية (مثل، الموقع الإلكتروني الرئيسي، الخدمة السحابية، إلخ.)
• النوع: صنف الثغرة الأمنية (مثل، حجب الخدمة، تجاوز المصادقة، إلخ.)
• الوصف: قدم شرحًا شاملاً يتضمن خطوات إعادة الإنتاج وأي افتراضات تم اتخاذها.
• عنوان URL / الموقع: (اختياري) عنوان URL الدقيق حيث تم العثور على الثغرة الأمنية.
• معلومات الاتصال: (اختياري) قنوات بديلة للوصول إليك.

يرجى ملاحظة أننا لا ندعم حاليًا تشفير GPG. توقع استلام إشعار بالاستلام في غضون 48 ساعة، ومتابعة مفصلة خلال ثلاثة أيام عمل.

الإفصاحات الصالحة

يرجى الامتناع عن تقديم بلاغات تتعلق بما يلي:

• الملفات أو الدلائل العامة المعروفة.
• سياسات الإغلاق أثناء هجمات حجب الخدمة (DoS).
• اقتراحات حول تكوينات DNS والبريد الإلكتروني.
• التصيد الاحتيالي أو الهندسة الاجتماعية.
• تضمينات iFrame، خيارات X-Frame، هجمات Click-Jacking.
• علامات الأمان على ملفات تعريف الارتباط غير الحساسة.

الجدول الزمني للإفصاح

بالنسبة للإفصاحات الصالحة، سيقوم فريق الأمن لدينا بما يلي:

1. الإقرار باستلام بلاغك.
2. محاولة التحقق وتقييم تأثير البلاغ.
3. تأكيد أو رفض المشكلة، مع تضمين الأسباب المنطقية.
4. تدقيق الكود ذي الصلة بحثًا عن ثغرات أمنية مماثلة.
5. إعداد الإصلاحات.
6. نشر إشعار أمني بمجرد جاهزية التخفيفات.

التعويض

بينما لا نقدم مكافآت مالية للإبلاغ عن الثغرات الأمنية في الوقت الحالي، قد ننظر في تعويضك عن بعض تكاليف البحث بعد تأكيد بلاغك، شريطة الحصول على موافقة خطية مسبقة.

نتطلع إلى تعاونك ونشكرك على مساعدتنا في الحفاظ على بيئة آمنة للجميع.