سياسة الإفصاح الأمني

١. الإبلاغ

بلّغ من خلال قناة الأمان في مستند جهة الاتصال القانونية. اذكر لقيت إيه، وتتكرّر إزاي، وبتسمح لحد يعمل إيه.

بلّغ قبل النشر. ورشة هتأكّد الاستلام، وهتفضل تبلّغك، وهتتفق معاك على جدول إفصاح.

٢. ورشة بتوعد بإيه

ورشة مش هتتخذ إجراء قانوني ضد حد بلّغ بحسن نية، والتزم بالقواعد تحت، وإدّى ورشة فرصة معقولة تصلّح المشكلة قبل النشر.

ورشة هتأكّد استلام البلاغ، وهتقولك لقت إيه، وهتقولك لما يتصلّح.

ورشة هتنسب الفضل ليك لو عايز.

ورشة مش بتشغّل برنامج مكافآت ثغرات مدفوع. بتقول كده بدل ما تسيبها ملتبسة.

٣. القواعد

الاختبار لازم يفضل في الحدود دي:

• استخدم بس حسابات إنت بتملكها. ما توصلش ولا تعدّل ولا تنزّل بيانات حد تاني.
• لو وصلت لبيانات شخصية حقيقية، وقّف فوراً، وما تحفظهاش، وقول كده في بلاغك.
• مفيش حجب خدمة، ولا اختبار حمل، ولا سبام، ولا أي حاجة بتقلّل الخدمة للناس التانية.
• مفيش هندسة اجتماعية على فريق ورشة أو الصنايعية أو العملاء، ومفيش اقتحام مادي.
• ما تستخدمش فاحص آلي على الإنتاج.

٤. النطاق

في النطاق: تطبيقات ورشة، وواجهة البرمجة، والمصادقة، والتحكم في الوصول، وأي حاجة بتكشف بيانات شخصية.

بره النطاق: النتايج ضد بنية مورد نفسه — بلّغها للمورد. وبره النطاق كمان: ترويسات التحصين الناقصة من غير أثر مثبت، والبلاغات المُنتَجة من فاحص بس من غير تحليل.

٥. ورشة مش بتدّعي إيه

ورشة ما كلّفتش باختبار اختراق ومعندهاش شهادة أمان. السياسة دي قناة للبلاغات، مش دليل على تقييم.