پژوهش با حسن نیت هرگز با وکلا مواجه نمی‌شود.

پژوهش امنیت محصول را ایمن‌تر می‌کند و ما می‌خواهیم گزارش پیش از آنکه به دست مهاجم برسد، به ما برسد. اگر این خط‌مشی را دنبال کنید، ما: گزارش شما را سریع تأیید می‌کنیم، با شما همکاری می‌کنیم تا آن را درک و اعتبارسنجی کنیم، هنگام رفع مشکل شما را مطلع نگه می‌داریم، اگر بخواهید نامتان را ذکر می‌کنیم و علیه شما اقدام حقوقی را پیگیری یا حمایت نمی‌کنیم. آخرین تعهد نقطهٔ اصلی این سند است و بند ۰۷ آن را به صراحت بیان می‌کند.

به security@transglot.ai ایمیل بزنید. آنچه یافته‌اید، محل یافتن، مراحل بازتولید، کاری که مهاجم می‌تواند با آن انجام دهد و هر چیزی که به تأیید کمک کند را شامل شود: درخواست و پاسخ، ویدیوی کوتاه، اثبات مفهوم. اگر می‌خواهید نامتان ذکر شود و تحت چه نامی، به ما اطلاع دهید. اگر ممکن است به انگلیسی بنویسید. اگر می‌خواهید گزارش را رمزنگاری کنید، در پیام اول درخواست کنید تا کلید مبادله کنیم. ما همچنین فایلی با نام security.txt با همان آدرس منتشر می‌کنیم تا اسکنرهای خودکار به صندوق پستی اشاره کنند که توسط انسان خوانده می‌شود.

گزارش را ظرف سه روز کاری تأیید می‌کنیم. ارزیابی اولیه، از جمله امکان بازتولید و رتبه‌بندی، را ظرف ده روز کاری ارائه می‌دهیم. زمان انتشار اصلاحیه را به شما اعلام می‌کنیم و معمولاً برای مسائل با اولویت بالا یا بحرانی ظرف نود روز پس از اعتبارسنجی اصلاحیه را منتشر می‌کنیم؛ در صورت فعال بودن ریسک، سریع‌تر عمل می‌کنیم. اگر اصلاحیه بیشتر طول بکشد، دلیل آن را به شما می‌گوییم و سکوت نمی‌کنیم. پیش از انتشار هر مطلبی دربارهٔ مسئله به شما اطلاع می‌دهیم و بدون پرسش نام شما را منتشر نمی‌کنیم.

لطفاً نود روز از نخستین گزارش خود قبل از انتشار جزئیات صبر کنید و در صورت پیچیده بودن واقعی اصلاحیه یا نیاز به اقدام مشتری، با توافق مدت را طولانی‌تر کنید. از این دوره برای پنهان کردن مسئله استفاده نمی‌کنیم: شما را به‌روز نگه می‌داریم و اگر نتوانیم آن را رفع کنیم، همین را نیز به شما می‌گوییم و پس از پایان دوره با انتشار مخالفت نمی‌کنیم. اگر مسئله به‌طور فعال مورد بهره‌برداری قرار گیرد، فوراً به ما اطلاع دهید تا با همان سرعت عمل کنیم. از هماهنگی بیانیهٔ مشترک و درخواست CVE در صورت مناسب بودن خوشحال می‌شویم.

اپلیکیشن وب تولیدی و سایت بازاریابی روی دامنه‌های خودمان، API عمومی REST، نقطهٔ تحویل، ویرایشگر درون‌متنی و سطوح جاسازی آن، بسته‌های کلاینت منتشرشده، تحویل و امضای وب‌هوک، جریان‌های احراز هویت و ورود یکپارچه، و زیرساخت عمومی ما همان‌گونه که از اینترنت قابل دسترسی است. گزارش‌ها دربارهٔ تصمیم طراحی که به‌عنوان مصالحهٔ عمدی مستند کرده‌ایم، مانند استخر حافظهٔ ترجمهٔ تطابق دقیق مشترک یا نبود رمزگذاری سطح دیسک روی حجم‌های زنده، به‌عنوان استدلال خوشایند هستند اما آسیب‌پذیری محسوب نمی‌شوند: این موارد دقیقاً در صفحهٔ امنیت ذکر شده‌اند تا پژوهشگر بعدازظهری را صرف اثبات چیزی نکند که ما از قبل منتشر کرده‌ایم.

هر چیزی که توسط ما اداره نمی‌شود، از جمله وب‌سایت مشتری، ادغام شخص ثالث و هر سیستمی که از طریق یک رابط به آن دسترسی پیدا شود. رد سرویس، تست‌های حجمی یا فرسایش منابع و هر چیزی که سرویس را برای سایر کاربران کاهش دهد. مهندسی اجتماعی، فیشینگ یا تلاش‌های فیزیکی علیه کارکنان، دفاتر یا تأمین‌کنندگان ما. اسپم و گزارش‌های تولیدشده توسط اسکنر خودکار بدون تحلیل ضمیمه. یافته‌هایی که فقط فقدان هدر بهترین روش، پرچم کوکی بدون اثر اثبات‌شده، کتابخانهٔ قدیمی بدون مسیر بهره‌برداری، محدودیت نرخ که با تجاوز از آن کشف شده، XSS خودتحملی، گزارش کلیک‌جکینگ روی صفحه‌ای بدون اقدام حساس یا فقدان سیاست گستردهٔ امنیت محتوا باشد که ما از قبل آن را به‌عنوان شکاف مستند کرده‌ایم. آسیب‌پذیری‌هایی که نیازمند دسترسی فیزیکی به دستگاه قفل‌نشدهٔ قربانی یا نیازمند نفوذ سطح ریشه به ماشین خود قربانی باشند.

اگر در پژوهش خود با حسن نیت تلاش کنید تا با این خط‌مشی مطابقت داشته باشید، پژوهش شما مجاز تلقی می‌شود، با شما همکاری می‌کنیم تا مسئله را سریع درک و حل کنیم و اقدام حقوقی علیه شما توصیه یا پیگیری نمی‌کنیم، از جمله تحت قوانین سوءاستفاده رایانه‌ای، ضد هک، ضد دور زدن یا قرارداد، و شامل هر ادعایی تحت خط‌مشی استفاده قابل قبول یا شرایط خدمات که آزمایش شما در غیر این صورت آن را نقض می‌کرد. اگر شخص ثالثی علیه شما برای پژوهش انجام‌شده تحت این خط‌مشی اقدامی مطرح کند، اعلام می‌کنیم که فعالیت‌های شما مجاز بوده است. این پناهگاه امن محدود به ما است: شما را مجاز نمی‌کند و نمی‌تواند مجاز کند که علیه شخص ثالث، مشتری دیگر یا سیستم‌های هر فرد دیگری اقدام کنید.

فقط از ورودها و حساب‌هایی استفاده کنید که متعلق به شماست یا اجازهٔ صریح برای آزمایش دارید و فضای کاری رایگان خودتان را ایجاد کنید به‌جای کاوش در فضای دیگران. به داده‌هایی که متعلق به شما نیست دسترسی پیدا نکنید، تغییر ندهید، کپی نکنید، استخراج نکنید یا نابود نکنید و اگر تصادفی با دادهٔ مشتری مواجه شدید، متوقف شوید، آن را ذخیره نکنید و فوراً آنچه دیده‌اید را به ما اطلاع دهید تا بتوانیم میزان مواجهه را ارزیابی کنیم. دسترسی را کاهش ندهید و تست‌های بار، استرس یا رد سرویس اجرا نکنید. از یافته برای کسب دسترسی بیش از نیاز برای نمایش آن استفاده نکنید و پایداری ایجاد نکنید. اخاذی نکنید و افشا را مشروط به پرداخت نکنید. پیش از اجازهٔ بند ۰۴ منتشر نکنید. با قوانین جاری و هر محدودیت کنترل صادرات یا تحریم که برای شما اعمال می‌شود مطابقت داشته باشید.

امروز برنامهٔ باگ بانتی پولی وجود ندارد. آنچه ارائه می‌دهیم پاسخ سریع و انسانی، ذکر نام در تأییدیهٔ عمومی در صورت تمایل، مرجع کتبی برای یافته‌های جدی و پناهگاه امن فوق است. اگر برنامهٔ پولی آغاز کنیم، پیش از دریافت نخستین ارسال، محدوده و بازه‌ها را اینجا منتشر خواهیم کرد.

ما از شما نمی‌خواهیم که برای دریافت گزارش‌تان توافقنامه عدم افشا امضا کنید و از فرم ارسال گزارش به عنوان ابزاری برای ساکت کردن شما استفاده نمی‌کنیم. اگر گزارشی کم‌اهمیت یا تکراری باشد، شما را تهدید نمی‌کنیم. شما را به کارفرما، دانشگاه یا پلتفرم‌تان گزارش نمی‌دهیم. اگر با ارزیابی شدت مشکل شما مخالف باشیم، به جای بستن بحث، دلیل آن را توضیح می‌دهیم.

مشتری که هنگام استفاده از محصول آسیب‌پذیری پیدا کند، تحت پوشش این سیاست و مصونیت امنیتی آن قرار دارد و گزارش آن هرگز نقض سیاست استفاده قابل قبول نیست. آن را به آدرس امنیتی گزارش دهید نه از طریق پشتیبانی معمولی، تا بدون ماندن در صف انتظار به افراد مناسب برسد. در صورت امکان، با داده‌های تولیدی متعلق به کاربران نهایی خودتان آزمایش نکنید.

صفحهٔ امنیت مواردی را که عمداً نساخته‌ایم نام می‌برد تا بازبین یا پژوهشگر آن‌ها را از ما بیاموزد، نه در فرآیند راستی‌آزمایی: حجم‌های زنده رمزگذاری دیسکی ندارند، گزارش حسابرسی فقط افزودنی است و هیچ زنجیرهٔ هش یا امضایی ندارد، سیاست گستردهٔ امنیت محتوا نداریم و امروز هیچ گواهی امنیتی شخص ثالثی در اختیار نداریم. انتشار شکاف‌های خودمان ارزان‌ترین شکل صداقت در کسب‌وکار است و برای همه یک هفته صرفه‌جویی می‌کند.

گزارش‌های امنیتی و پرسش‌ها دربارهٔ این خط‌مشی به security@transglot.ai ارسال می‌شوند. هر چیزی که مسئلهٔ امنیتی نیست، از جمله سوءاستفاده و حق نشر، به hello@transglot.ai می‌رود. حریم خصوصی و حفاظت از داده‌ها به privacy@transglot.ai ارجاع داده می‌شوند.