سياسة الإفصاح المسؤول
نحن في Gig Earnings Guide (gigearningsguide.com) نأخذ أمان موقعنا وبنيتنا التحتية ومجتمع مستخدمينا على محمل الجد. ونرحّب بملاحظات ومساهمات الباحثين المستقلين في الأمن السيبراني، والمخترقين الأخلاقيين، والمهتمين بالتقنية الذين يساعدوننا في الحفاظ على أمان منصتنا.
ضمان الحماية القانونية (Safe Harbor):
إذا أجريت بحثًا عن الثغرات بحسن نية ووفقًا لهذه السياسة، فإننا نعتبر أفعالك مصرّحًا بها. لن نتخذ ضدك أي إجراء قانوني مدني أو جنائي، ولن نطلب تدخّل جهات إنفاذ القانون.
إذا أجريت بحثًا عن الثغرات بحسن نية ووفقًا لهذه السياسة، فإننا نعتبر أفعالك مصرّحًا بها. لن نتخذ ضدك أي إجراء قانوني مدني أو جنائي، ولن نطلب تدخّل جهات إنفاذ القانون.
1. قواعد المشاركة (الإرشادات)
للتأهل للحماية القانونية ومساعدة فريق الأمان لدينا، فإنك توافق على ما يلي:
- أبلغنا فورًا: أبلغ عن أي ثغرة أمنية محتملة بمجرد اكتشافها.
- احمِ خصوصية المستخدمين: ابذل كل جهد معقول لتجنّب الوصول إلى البيانات الشخصية أو الطلبات أو مفاتيح الترخيص الخاصة بأي مستخدم آخر، أو عرضها أو تعديلها أو تنزيلها أو إتلافها. إذا وصلت إلى بيانات شخصية عن طريق الخطأ، فأوقف الاختبار وأبلغ عن ذلك فورًا.
- لا تعطّل الخدمة: لا تقم بأفعال تضعف تجربة المستخدم، أو توقف الخوادم، أو تعطّل التوفّر.
- حافظ على السرية: لا تفصح عن الثغرة علنًا ولا تشاركها مع أطراف ثالثة حتى يحقق فريقنا فيها ويعالجها ويؤكد الإصلاح (الإفصاح المنسّق).
2. أساليب الاختبار المحظورة
خارج النطاق تمامًا:
- هجمات حجب الخدمة (DoS / DDoS) أو محاولات استنزاف الموارد.
- التخمين الآلي لكلمات المرور (brute-force) أو حشو بيانات الاعتماد (credential stuffing) ضد نقاط تسجيل الدخول أو تفعيل الترخيص.
- التصيّد الاحتيالي، أو التصيّد الموجّه، أو الهندسة الاجتماعية التي تستهدف المسؤولين أو المتسوّقين.
- الهجمات المادية على مراكز البيانات أو الموظفين أو أجهزة الاستضافة.
- الهجمات التي تستهدف البنية التحتية لأطراف ثالثة مباشرة (مثل مهاجمة خوادم الدفع في Paddle.com أو عُقد الحافة في Cloudflare).
3. الأهداف ضمن النطاق
- النطاقات الرئيسية للموقع والنطاقات الفرعية (مثل
gigearningsguide.com). - نقاط الوصول العامة لقارئ الويب، وتطبيقات HTML من جهة العميل، ومنطق JavaScript.
- وسائل الحماية الخاصة بسياسة أمان المحتوى (CSP)، والبرمجة عبر المواقع (XSS)، وتزوير الطلبات عبر المواقع (CSRF).
4. كيف تبلّغ عن ثغرة
يرجى إرسال تقارير مفصّلة إلى بريد الأمان لدينا:
بريد الأمان: gigearningsguide@gmail.com
يرجى أن يتضمن بلاغك ما يلي:
- وصفًا واضحًا للثغرة ونوعها (مثل XSS، أو خطأ في إعداد CORS).
- تعليمات إعادة إنتاج خطوة بخطوة أو إثبات مفهوم (PoC) مبسّطًا.
- عنوان URL أو المعامل أو ترويسات طلب HTTP المتأثرة.
- تقييمك للخطر أو الأثر المحتمل في الواقع.
5. مواعيد الاستجابة والتقدير
نلتزم بالتعامل مع البلاغات الأمنية بمسؤولية:
- الإقرار الأولي بالاستلام: خلال 48 ساعة من إرسال بلاغك.
- الفرز والتقييم: خلال 5 أيام عمل.
- المعالجة: نعمل على إصلاح المشكلات عالية الخطورة بأسرع ما يمكن.
- التقدير: لا ندير حاليًا برنامج مكافآت مدفوعة (مالية) لاكتشاف الثغرات. لكن يسعدنا أن نذكر اسمك علنًا في قائمة الشرف الأمنية (Security Hall of Fame) لدينا تقديرًا للثغرات الصحيحة والجديدة وذات الأثر التي يتم الإبلاغ عنها بطريقة أخلاقية.