بحث بحسن نية لا يقابله محامون أبدًا.

يجعل بحث الأمن المنتج أكثر أماناً، ونريد أن يصل التقرير إلينا قبل أن يصل إلى المهاجم. إذا اتبعت هذه السياسة، فسوف: نعترف باستلام تقريرك بسرعة، نتعاون معك لفهمه والتحقق من صحته، نطلعك على المستجدات أثناء إصلاحه، ننسب الفضل إليك إذا رغبت في ذلك، ولن نتخذ أو ندعم إجراءات قانونية ضدك بسبب البحث. هذا الالتزام الأخير هو جوهر هذه الوثيقة، والبند 07 ينص عليه صراحة.

أرسل بريداً إلكترونياً إلى security@transglot.ai. ضمّن ما وجدته، ومكان العثور عليه، وخطوات إعادة إنتاج المشكلة، وما يمكن للمهاجم فعله بها، وأي شيء يساعدنا في تأكيدها: طلب واستجابة، فيديو قصير، أو إثبات مفهوم. أخبرنا إذا كنت تريد نسب الفضل إليك وتحت أي اسم. اكتب باللغة الإنجليزية إن أمكن. إذا أردت تشفير التقرير، اطلب ذلك في رسالة أولى وسنتبادل مفتاح التشفير. ننشر أيضاً ملف security.txt يحتوي على نفس العنوان، بحيث توجه الماسحات الضوئية الآلية التقارير إلى صندوق بريد يقرأه شخص فعلي.

نعترف باستلام التقرير خلال ثلاثة أيام عمل. نقدم تقييماً أولياً، بما في ذلك ما إذا كان بإمكاننا إعادة إنتاج المشكلة وكيف قمنا بتصنيف خطورتها، خلال عشرة أيام عمل. نخبرك عند إصدار الإصلاح، وعادةً ما نكون قد أصدرنا إصلاحاً للمشكلات عالية أو حرجة الخطورة خلال تسعين يوماً من التحقق منها، وبسرعة أكبر إذا كانت المخاطر نشطة. إذا استغرق الإصلاح وقتاً أطول، سنشرح السبب بدلاً من الصمت. سنخبرك قبل نشر أي معلومات حول المشكلة، ولن ننشر اسمك دون إذن.

يرجى منحنا تسعين يوماً من تاريخ تقريرك الأول قبل نشر التفاصيل، ويمكن تمديد هذه الفترة بالاتفاق إذا كان الإصلاح معقداً حقاً أو إذا تطلب إجراءً من العميل. لن نستخدم هذه الفترة لإخفاء المشكلة: سنطلعك على المستجدات، وإذا لم نتمكن من إصلاحها سنخبرك بذلك أيضاً، ولن نعارض النشر بعد انقضاء الفترة. إذا كانت هناك مشكلة يتم استغلالها بنشاط، أخبرنا فوراً وسنتحرك بالسرعة المطلوبة. نحن مستعدون لتنسيق بيان مشترك وطلب معرف CVE حيث يكون ذلك مناسباً.

تطبيق الويب الإنتاجي والموقع التسويقي على نطاقاتنا الخاصة، واجهة برمجة التطبيقات REST العامة، نقطة نهاية التوصيل، المحرر السياقي وواجهات التضمين الخاصة به، حزم العميل المنشورة، تسليم الويب هوك والتوقيع الخاص به، تدفقات المصادقة وتسجيل الدخول الموحد، وبنيتنا التحتية العامة كما يمكن الوصول إليها من الإنترنت. التقارير المتعلقة بقرار تصميمي وثقناه كمقايضة متعمدة، مثل تجمع ذاكرة الترجمة المطابق تماماً المشترك أو غياب التشفير على مستوى القرص لوحدات التخزين الحية، مرحب بها كحجج ولكنها لا تعتبر ثغرات: فهي موضحة في صفحة الأمن تحديداً لكي لا يقضي الباحث بعد الظهر في إثبات شيء نشرناه بالفعل.

أي شيء لا نديره نحن، بما في ذلك موقع العميل الخاص، تكاملات الطرف الثالث، وأي نظام يتم الوصول إليه عبر موصل. هجمات حجب الخدمة، اختبارات الاستنزاف الحجمي أو للموارد، وأي شيء يُضعف الخدمة للمستخدمين الآخرين. الهندسة الاجتماعية، التصيد، أو المحاولات المادية ضد موظفينا أو مكاتبنا أو موردينا. الرسائل غير المرغوب فيها، والتقارير التي تولدها ماسحات ضوئية آلية بدون تحليل مرفق. النتائج التي تقتصر على رأس أفضل ممارسات مفقود، أو علامة ملف تعريف ارتباط بدون تأثير مثبت، أو مكتبة قديمة بدون مسار استغلال، أو حد معدل وجدته بتجاوزِه، أو ثغرة XSS ذاتية، أو تقرير انتحال نقر على صفحة بدون إجراء حساس، أو غياب سياسة واسعة لأمن المحتوى والتي وثقناها بالفعل كنقص. الثغرات التي تتطلب وصولاً مادياً لجهاز الضحية غير المؤمن، أو تتطلب اختراقاً على مستوى الجذر لجهاز الضحية نفسه.

إذا بذلت جهداً بحسن نية للامتثال لهذه السياسة أثناء بحثك، سنعتبر بحثك مأذوناً به، وسنتعاون معك لفهم المشكلة وحلها بسرعة، ولن نوصي أو نتابع إجراءات قانونية ضدك، بما في ذلك بموجب قوانين سوء استخدام الحاسوب، ومكافحة الاختراق، ومكافحة الالتفاف، أو قانون العقود، بما في ذلك أي مطالبة بموجب سياسة الاستخدام المقبول أو شروط الخدمة التي قد يشكل اختبارك انتهاكاً لها بخلاف ذلك. إذا رفع طرف ثالث دعوى ضدك بسبب بحث أجريته تحت مظلة هذه السياسة، سنعلن أن أنشطة كانت مأذوناً بها. هذه الحماية الآمنة محدودة بنا: فهي لا يمكن ولا تأذن لك بالتصرف ضد طرف ثالث، أو عميل آخر، أو أنظمة أي شخص آخر.

استخدم فقط تسجيلات الدخول والحسابات التي تمتلكها أو لديك إذن صريح باختبارها، وأنشئ مساحة عمل مجانية خاصة بك بدلاً من فحص مساحة شخص آخر. لا تقم بالوصول إلى البيانات التي ليست ملكك أو تعديلها أو نسخها أو استخراجها أو إتلافها، وإذا صادفت بيانات عملاء عن طريق الخطأ، توقف فورًا، ولا تحفظها، وأخبرنا فورًا بما رأيتَه حتى نتمكن من تقييم مدى التعرض للمخاطر. لا تقلل من توفر الخدمة ولا تجري اختبارات تحميل أو إجهاد أو حرمان من الخدمة. لا تستخدم النتيجة للحصول على وصول أكبر مما تحتاجه لإثباتها، ولا تحافظ على استمرار الوصول غير المصرح به. لا تبتز، ولا تربط الإفصاح بالدفع. لا تنشر النتائج قبل السماح بذلك بموجب البند 04. الامتثال للقوانين المعمول بها وأي قيود تتعلق بمراقبة الصادرات أو العقوبات التي تنطبق عليك.

لا توجد مكافأة مالية للثغرات حالياً. ما نقدمه هو استجابة بشرية سريعة، نسب الفضل في إعلان عام إذا رغبت في ذلك، مرجعاً كتابياً للاكتشافات الجدية، والحماية الآمنة المذكورة أعلاه. إذا بدأنا برنامجاً مدفوعاً، سننشر النطاق والنطاقات المالية هنا قبل قبول أول تقرير.

لن نطلب منك توقيع اتفاقية عدم إفصاح كشرط لاستلام تقريرك، ولن نستخدم نموذج إرسال التقارير كوسيلة لإلزامك بالصمت. لن نهددك بسبب تقرير يتضح أنه منخفض الخطورة أو مكرر. لن نبلغ صاحب عملك أو جامعتك أو أي منصة عنك. إذا اختلفنا معك في تصنيف خطورة الثغرة، سنشرح السبب بدلاً من إغلاق النقاش.

العميل الذي يجد ثغرة أثناء استخدام المنتج مشمول بهذه السياسة وبالحماية الآمنة التي توفرها، والإبلاغ عنها لا يعتبر أبداً انتهاكاً لسياسة الاستخدام المقبول. أبلغ عنها عبر عنوان البريد الإلكتروني المخصص للأمن وليس عبر الدعم الفني العادي، حتى تصل إلى الأشخاص المناسبين دون الانتظار في قائمة الانتظار. تجنب اختبار البيانات الإنتاجية الخاصة بمستخدميك النهائيين إن أمكن.

تذكر صفحة الأمن الأشياء التي لم نقم ببنائها عمداً، بحيث يتعلمها المراجعون أو الباحثون منا مباشرة بدلاً من اكتشافها خلال التدقيق: وحدات التخزين الحية غير مشفرة على مستوى القرص، وسجل التدقيق قابل للإضافة فقط على مستوى التطبيق ولا يحمل سلسلة تجزئة أو توقيعاً رقمياً، ولا توجد سياسة واسعة لأمن المحتوى، وليس لدينا شهادة أمان من طرف ثالث حالياً. نشر نقاط ضعفنا الخاصة هو أرخص أشكال الصدق في هذا المجال وهو يوفر على الجميع أسبوعاً من الجهد.

ترسل تقارير الأمان والأسئلة حول هذه السياسة إلى security@transglot.ai. كل ما ليس مشكلة أمنية، بما في ذلك إساءة الاستخدام وحقوق النشر، يرسل إلى hello@transglot.ai. ترسل مسائل الخصوصية وحماية البيانات إلى privacy@transglot.ai.