سياسة الإفصاح عن الثغرات الأمنية

أرسل تقريرك من خلال صفحة الاتصال مع وضع "Security report" في سطر الموضوع، وتضمين ما يلي: المنتج أو البرنامج أو الخدمة المتأثرة وإصدارها؛ والبيئة التي لوحظت فيها المشكلة؛ وخطوات واضحة لإعادة إنتاجها؛ والأثر المحتمل؛ وأي مواد إثبات مفهوم (proof-of-concept) لازمة لتأكيد المشكلة.

نهدف إلى الإقرار باستلام التقارير دون تأخير، وإبقائك على علم بما يستجد أثناء تحققنا، وإبلاغك بما إذا كان التقرير مقبولًا وما العلاج المزمع تنفيذه. وتعتمد المدد الزمنية للإصلاح على درجة الخطورة والتعقيد؛ وقد نطلب توضيحًا أو مزيدًا من التفصيل بشأن إعادة الإنتاج.

أثناء التحقيق، يرجى الامتناع عن: الوصول إلى بيانات لا تملكها أو تعديلها أو حذفها؛ أو إضعاف خدماتنا أو خدمات المستخدمين الآخرين أو تعطيلها؛ أو استخدام الهندسة الاجتماعية أو التصيّد أو الهجمات المادية ضد موظفينا أو مقراتنا؛ أو الإفصاح العلني عن تفاصيل المشكلة قبل أن تتاح لنا فرصة معقولة لإصدار إصلاح.

إذا بذلت جهدًا بحسن نية للامتثال لهذه السياسة أثناء بحثك، فلن نباشر أو ندعم أي إجراء قانوني ضدك بشأن ذلك البحث، وسنوضح ذلك لأي طرف ثالث يطلب ذلك. ولا يمتد هذا التأكيد إلى الأنشطة التي تخالف القانون أو حقوق الآخرين.

التقارير التي تعتمد فقط على متصفحات أو أنظمة تشغيل قديمة، أو على مخرجات أدوات الفحص الآلي دون إثبات أثر عملي، أو على رؤوس أمان (security headers) مفقودة دون استغلال عملي، أو على الهندسة الاجتماعية لموظفينا، لا تكون مؤهلة عمومًا للإقرار بها.