በእውነተኛ እምነት የተደረገ ጥናት በፈጽሞ በሕግ አጥቂዎች አይቀበልም።

የደህንነት ጥናት ምርቱን ደህንነቱ የተጠበቀ ያደርገዋል፣ እና ሪፖርቱ ወደ አጥቂ ከመድረሱ በፊት ወደ እኛ እንዲደርስ እንፈልጋለን። ይህንን ፖሊሲ ከተከተሉ፣ እኛ፡ ሪፖርትዎን በፍጥነት እንቀበላለን፣ ለመረዳት እና ለማረጋገጥ ከእርስዎ ጋር እንሠራለን፣ እያስተካከልን ስንገኝ መረጃ እንሰጥዎታለን፣ ከፈለጉ ምስጋና እንሰጥዎታለን፣ እና ስለ ጥናቱ ምንም የሕግ እርምጃ አንወስድም ወይም አንደግፍም። ያ የመጨረሻ ቃል ኪዳን የዚህ ሰነድ ዓላማ ሲሆን፣ አንቀጽ 07 በዝርዝር ይገልጸዋል።

ወደ security@transglot.ai ኢሜይል ይላኩ። ያገኙትን ነገር፣ የት እንዳገኙት፣ እንደገና ለማምረት የሚያስፈልጉትን ደረጃዎች፣ አጥቂ ምን ሊያደርግ እንደሚችል፣ እና ለማረጋገጥ የሚረዳን ማንኛውም ነገር፡ ጥያቄ እና ምላሽ፣ አጭር ቪዲዮ፣ ወይም የማረጋገጫ ሞዴል ያካትቱ። ምስጋና ከፈለጉ እና በምን ስም እንደሚፈልጉ ይንገሩን። ከቻሉ በእንግሊዝኛ ይጻፉ። ሪፖርቱን ለመደበቅ (encrypt) ከፈለጉ፣ በመጀመሪያ መልእክት ይጠይቁ እና ቁልፍ እንለዋወጣለን። እንዲሁም ተመሳሳይ አድራሽ ያለው security.txt ፋይል እናሳትፋለን፣ ስለዚህ አውቶማቲክ ስካነር ሰው የሚያነበውን ሳንዱካ ያመለክታል።

ሪፖርትን በሦስት የስራ ቀናት ውስጥ እንቀበላለን። መልሰን ማምረት እንደምንችል እና እንዴት እንደደረግነው ጨምሮ የመጀመሪያ ግምገማን በአስር የስራ ቀናት ውስጥ እንሰጥዎታለን። እርማት ሲወጣ እንነግርዎታለን፣ እና ለከፍተኛ ወይም ወሳኝ ጉዳይ ብዙውን ጊዜ ካረጋገጥነው በኋላ በዘጠና ቀናት ውስጥ እርማት እናወጣለን፣ ጥቃቱ ንቁ ከሆነ ከዚያ በፍጥነት። እርማቱ ረጅም ጊዜ ከወሰደ ጸጥተኛ ከመሆን ይልቅ ለምን እንደሆነ እንነግርዎታለን። ስለ ጉዳዩ ምንም ነገር ከማሳተባችን በፊት እንነግርዎታለን፣ እና ስምዎን ሳንጠይቅ አናሳትፍም።

ዝርዝሮችን ከማሳተባችን በፊት ከመጀመሪያ ሪፖርትዎ ጀምሮ ዘጠና ቀናት እንዲሰጡን ይጠይቁ፣ እና እርማቱ በእውነት ውስብስብ ከሆነ ወይም እርማቱ ደንበኛ እርምጃ ከሚፈልግ ከሆነ በስምምነት ረጅም ጊዜ። ያንን ጊዜ ጉዳዩን ለመቅበር አንጠቀምበትም፡ መረጃ እንሰጥዎታለን፣ እና ማስተካከል ካልቻልንም ያንን እንነግርዎታለን፣ እና ጊዜው ካለፈ በኋላ ለማሳተም አንቃወምም። ጉዳዩ በንቃት ከተጠቀመ፣ ወዲያውኑ ይንገሩን እና እኛም በዚያ ፍጥነት እንንቀሳቀሳለን። የጋራ ማስጠንቀቂያ ለማስተባበር እና CVE ግብአት ለመጠየቅ ደስተኞች ነን።

በራሳችን ዶሜይኖች ላይ ያለው የምርት ድር አፕሊኬሽን እና የማርኬቲንግ ጣቢያ፣ የህዝብ REST API፣ የማቅረቢያ ነጥብ፣ በአውድ ውስጥ ያለው አርታኢ እና የማስገቢያ ገጾቹ፣ የታተሙት የደንበኛ ፓኬጆች፣ የ webhook አቅርቦት እና ፊርማ፣ የማጽደቅ እና አንድ ጊዜ የመግባት (single sign-on) ሂደቶች፣ እና ከኢንተርኔት ሊደረስ የሚችለው የህዝብ መሠረተ ልማት። ስለ ዲዛይን ውሳኔ የሚያቀርቡ ሪፖርቶች፣ እንደ የተጋራ ትክክለኛ-ተመጣጣኝ የትርጉም ማስታወሻ ጉድጓድ ወይም በቀጥታ መጠኖች ላይ የዲስክ ደረጃ ምስጠራ አለመኖር፣ እንደ ክርክር ይቀበላሉ እንጂ ጥፈቶች አይደሉም፡ እነሱ በደህንነት ገጹ ላይ ተገልጸዋል ምክንያቱም ተመራማሪ እኛ ቀድሞ ያሳተምነውን ነገር ለማረጋገጥ አቅረቡ እንዳያሳልፍ ነው።

በእኛ ያልተሠራ ማንኛውም ነገር፣ የደንበኛ የራሱ ድር ጣቢያ፣ የሶስተኛ ወገን ውህደት እና በአገናኝ የሚደረስ ማንኛውም ስርዓት ጨምሮ። የአገልግሎት መከልከል፣ የድምጽ መጠን ወይም የመረጃ ማጠራቀም ሙከራ፣ እና ለሌሎች ተጠቃሚዎች አገልግሎቱን የሚቀንስ ማንኛውም ነገር። ማህበራዊ ምህንድስና፣ ፊሺንግ፣ ወይም በሠራተኞቻችን፣ በጽህፈት ቤቶቻችን ወይም በአቅራቢዎቻችን ላይ የሚደረጉ አካላዊ ሙከራዎች። ስፓም፣ እና ትንተና ያልተያያዘበት በአውቶማቲክ ስካነር የተፈጠሩ ሪፖርቶች። የጎደሉ ምርጥ-አሠራር ራስጌ ብቻ የሆኑ ግኝቶች፣ ተጽዕኖ የሌለው የኩኪ ምልክት፣ የሚጠቀምበት መንገድ የሌለው የዘገየ ቤተ-መጽሐፍ፣ በማለፍ ያገኙት የፍጥነት ገደብ፣ በራስዎ የተፈጠረ cross-site scripting፣ ስሜታዊ ተግባር በሌለበት ገጽ ላይ የ clickjacking ሪፖርት፣ ወይም እኛ ቀድሞ እንደ ክፍተት የምንገልጸው ሰፊ የይዘት ደህንነት ፖሊሲ አለመኖር። የአጥቂው ያልተዘጋ መሣሪያ ላይ አካላዊ መዳረሻ የሚፈልጉ ጥፈቶች፣ ወይም የአጥቂውን የራሱ ማሽን root-level ማፍረስ የሚፈልጉ።

በጥናትዎ ወቅት ይህንን ፖሊሲ ለማክበር በጎ ፈቃዩ ጥረት ካደረጉ፣ ጥናትዎን እንደ ተፈቀደ እንቆጥረዋለን፣ ጉዳዩን በፍጥነት ለመረዳት እና ለመፍታት ከእርስዎ ጋር እንሠራለን፣ እና ስለ እርስዎ ምንም የሕግ እርምጃ አንመክርም ወይም አንከተልም፣ ኮምፒውተርን በአግባብ ያለመጠቀም፣ አንቲ-ሃኪንግ፣ አንቲ-ማዞር ወይም የኮንትራት ሕግን ጨምሮ፣ እና የፈተናዎ ሌላ በኩል የሚጥስበትን የተቀበልነው አጠቃቀም ፖሊሲ ወይም የአገልግሎት ውል ስር ያለ ማንኛውንም ክስ ጨምሮ። ሶስተኛ ወገን በዚህ ፖሊሲ ስር በተደረገ ጥናት ምክንያት ክስ ካቀረበ፣ እንቅስቃሴዎችዎ ተፈቅደው እንደሆነ እናሳውቅ። ይህ ደህንነት ያለው ወደብ ለእኛ ብቻ የተገደበ ነው፡ ሶስተኛ ወገን፣ ሌላ ደንበኛ፣ ወይም የማንኛውም ሰው ስርዓቶች ላይ እርምጃ እንዲወስዱ አያፈቅድም እና አያፈቅድም።

የእርስዎን ወይም ለመፈተሽ ግልጽ ፈቃድ ያላቸውን መግቢያዎች እና መለያዎች ብቻ ይጠቀሙ፣ እና የሌላ ሰውን ከመመርመር ይልቅ የራስዎን ነጻ የስራ ቦታ ይፍጠሩ። የእርስዎ ያልሆነ መረጃ አይደርሱ፣ አያስተካክሉ፣ አይቅዱ፣ አያስወጡ ወይም አያጠፉ፣ እና በአጋጣሚ የደንበኛ መረጃ ካገኙ፣ ያቁሙ፣ አይቅዱት፣ እና ግላጭነቱን ልንገምግም እንድንችል ያዩትን ወዲያውኑ ይንገሩን። ተገኝነትን አያቀንሱ ወይም የጭነት፣ የጫና ወይም የአገልግሎት መከልከል ሙከራዎችን አያካሂዱ። ግኝትን ለማሳየት ከሚያስፈልግዎት በላይ ተጨማሪ መዳረሻ ለማግኘት አይጠቀሙበት፣ እና ቆይታ (persistence) አያስፈጽሙ። አይጠይቁ፣ እና ምላሹን በክፍያ ላይ አያድርጉ። አንቀጽ 04 ከሚፈቅደው በፊት አያሳትሙ። በሚመለከተዎት ሕግ እና በእርስዎ ላይ በሚተገበሩ ማናቸውም የወጪ ቁጥጥር ወይም የቅጣት ገደቦች ይታዘዙ።

በአሁኑ ጊዜ የተከፈለ የባግ ሽልማት የለም። የምንሰጠው ፈጣን፣ የሰው ምላሽ፣ ከፈለጉ በህዝብ ምስጋና ውስጥ ስምዎን መጥቀስ፣ ለከፍተኛ ግኝቶች የተጻፈ ማጣቀሻ፣ እና ከላይ ያለው ደህንነት ያለው ወደብ ነው። የተከፈለ ፕሮግራም ከጀመርን፣ የመጀመሪያውን ሪፖርት ከመቀበላችን በፊት ክልሉን እና ክልሎቹን እዚህ ላይ እናሳትፋለን።

ሪፖርትዎን ለመቀበል ሁኔታ እንዲሆን የግል መረጃ አይጠብቁ (NDA) እንዲፈርሙ አንጠይቅም፣ እንዲሁም ሪፖርት የማቅረብ ቅጽን ወደ ድምጽ አለመስጠት ለማስገደድ አንጠቀምም። ዝቅተኛ ክብደት ያለው ወይም ተደጋጋሚ ሆኖ የተገኘ ሪፖርት ስለሆነ አናስፈራራም። ወደ ቀጣሪዎ፣ ዩኒቨርሲቲዎ ወይም መድረክ አናመልክትም። በክብደት ደረጃዎ ካልተስማማን ጥያቄውን ከመዝጋት ይልቅ ምክንያቱን እንገልጻለን።

ምርቱን በሚጠቀሙበት ጊዜ ጥገና (vulnerability) የሚያገኝ ደንበኛ በዚህ ፖሊሲ እና በደህንነት ዋስትናው የተሸፈነ ሲሆን፣ አንዱን ማመልከት በፈጽሞ የተፈቀደ አጠቃቀም ፖሊሲ መጣስ አይደለም። በትክክለኛው ሰዎች እንዲደርስ እና በድጋፍ ሰራተኞች ውስጥ እንዳይቆይ፣ በመደበኛ ድጋፍ ሳይሆን ወደ ደህንነት አድራሻ ያመልክቱት። ከራስዎ የመጨረሻ ተጠቃሚዎች የሆነውን የምርት ውሂብ ለመፈተሽ ከቻሉ ያስቡት።

The security page names the things we have not built, on purpose, so that a reviewer or a researcher learns them from us rather than in diligence: the live volumes are not disk-encrypted, the audit log is append-only at the application layer and carries no hash chain or signature, there is no broad content security policy, and we hold no third party security certification today. Publishing our own gaps is the cheapest honesty in the business and it saves everybody a week.

የደህንነት ሪፖርቶች እና ስለዚህ ፖሊሲ ጥያቄዎች ወደ security@transglot.ai ይላኩ። የደህንነት ጉዳይ ያልሆነ ማንኛውም ነገር፣ የአላግባብ አጠቃቀም እና የቅጂ መብት ጨምሮ፣ ወደ hello@transglot.ai ይላኩ። የግላዊነት እና የመረጃ ጥበቃ ወደ privacy@transglot.ai ይላኩ።