ज़िम्मेदार प्रकटीकरण नीति
Gig Earnings Guide (gigearningsguide.com) में हम अपनी वेबसाइट, इन्फ़्रास्ट्रक्चर और यूज़र कम्युनिटी की सुरक्षा को गंभीरता से लेते हैं। हम उन स्वतंत्र साइबर सुरक्षा शोधकर्ताओं, एथिकल हैकर्स और टेक्नोलॉजी के शौकीनों के फ़ीडबैक और योगदान का स्वागत करते हैं जो हमारे प्लेटफ़ॉर्म को सुरक्षित रखने में मदद करते हैं।
सेफ़ हार्बर गारंटी:
अगर आप नेक इरादे से और इस नीति के अनुसार कमज़ोरियों पर रिसर्च करते हैं, तो हम आपके कामों को अधिकृत मानते हैं। हम आपके खिलाफ़ कोई दीवानी या आपराधिक कानूनी कार्रवाई शुरू नहीं करेंगे। हम कानून लागू करने वाली एजेंसियों से दखल देने को नहीं कहेंगे।
अगर आप नेक इरादे से और इस नीति के अनुसार कमज़ोरियों पर रिसर्च करते हैं, तो हम आपके कामों को अधिकृत मानते हैं। हम आपके खिलाफ़ कोई दीवानी या आपराधिक कानूनी कार्रवाई शुरू नहीं करेंगे। हम कानून लागू करने वाली एजेंसियों से दखल देने को नहीं कहेंगे।
1. काम करने के नियम (दिशानिर्देश)
सेफ़ हार्बर सुरक्षा पाने और हमारी सुरक्षा टीम की मदद के लिए, आप सहमत होते हैं कि:
- हमें तुरंत बताएँ: कोई भी संभावित सुरक्षा कमज़ोरी मिलते ही उसकी रिपोर्ट करें।
- यूज़र की गोपनीयता की रक्षा करें: किसी दूसरे यूज़र का निजी डेटा, ऑर्डर या लाइसेंस की एक्सेस करने, देखने, बदलने, डाउनलोड करने या नष्ट करने से बचने की हर उचित कोशिश करें। अगर गलती से निजी डेटा तक पहुँच जाएँ, तो टेस्टिंग रोकें और तुरंत रिपोर्ट करें।
- सेवा में रुकावट न डालें: ऐसा कुछ न करें जिससे यूज़र का अनुभव खराब हो, सर्वर क्रैश हों या सेवा की उपलब्धता बाधित हो।
- गोपनीयता बनाए रखें: जब तक हमारी टीम कमज़ोरी की जाँच करके उसे ठीक न कर दे और फ़िक्स की पुष्टि न कर दे, तब तक उसे सार्वजनिक न करें और न ही किसी तीसरे पक्ष से शेयर करें (समन्वित प्रकटीकरण)।
2. मना किए गए टेस्टिंग तरीके
पूरी तरह दायरे से बाहर:
- Denial of Service (DoS / DDoS) हमले या संसाधन खत्म करने की कोशिशें।
- लॉगिन/लाइसेंस एक्टिवेशन एंडपॉइंट पर ऑटोमेटेड ब्रूट-फ़ोर्सिंग या क्रेडेंशियल-स्टफ़िंग।
- एडमिनिस्ट्रेटर्स या शॉपर्स को निशाना बनाकर फ़िशिंग, स्पीयर-फ़िशिंग या सोशल इंजीनियरिंग।
- डेटा सेंटर, कर्मचारियों या होस्टिंग हार्डवेयर पर शारीरिक हमले।
- थर्ड-पार्टी इन्फ़्रास्ट्रक्चर पर सीधे हमले (जैसे Paddle.com के पेमेंट सर्वर या Cloudflare edge nodes पर हमला)।
3. दायरे में आने वाले टारगेट
- मुख्य वेब डोमेन और सबडोमेन (जैसे
gigearningsguide.com)। - पब्लिक वेब रीडर एंडपॉइंट, HTML क्लाइंट ऐप्लिकेशन और JavaScript लॉजिक।
- Content Security Policy (CSP), Cross-Site Scripting (XSS) और Cross-Site Request Forgery (CSRF) से बचाव।
4. कमज़ोरी की रिपोर्ट कैसे करें
कृपया विस्तृत रिपोर्ट हमारे सुरक्षा ईमेल पर भेजें:
सुरक्षा ईमेल: gigearningsguide@gmail.com
अपनी रिपोर्ट में कृपया ये शामिल करें:
- कमज़ोरी और उसके प्रकार का साफ़ विवरण (जैसे XSS, CORS की गलत कॉन्फ़िगरेशन)।
- दोबारा करके दिखाने के लिए क्रमवार निर्देश या एक छोटा Proof of Concept (PoC)।
- प्रभावित URL, पैरामीटर या HTTP रिक्वेस्ट हेडर।
- असल दुनिया में संभावित खतरे या असर का आपका आकलन।
5. जवाब देने की समय-सीमा और सम्मान
हम सुरक्षा रिपोर्ट्स को ज़िम्मेदारी से संभालने का वादा करते हैं:
- पहली पुष्टि: आपकी रिपोर्ट मिलने के 48 घंटों के अंदर।
- जाँच और आकलन: 5 कामकाजी दिनों के अंदर।
- समाधान: हम गंभीर समस्याओं को जितनी जल्दी हो सके ठीक करने पर काम करते हैं।
- सम्मान: फ़िलहाल हम पैसे वाला bug bounty प्रोग्राम नहीं चलाते। लेकिन नैतिक तरीके से रिपोर्ट की गई सही, नई और असरदार कमज़ोरियों के लिए हम आपको खुशी-खुशी अपने Security Hall of Fame में सार्वजनिक रूप से श्रेय देंगे।