افشای مسئولانه
سیاست

نحوهٔ گزارش

آسیب‌پذیری را از طریق ایمیل گزارش کنید: security@colitu.com. آن را به‌صورت عمومی، در تیکت پشتیبانی یا در شبکه‌های اجتماعی منتشر نکنید.

لطفاً در گزارش خود این موارد را بیاورید:

• چه چیزی تحت تأثیر است: دامنه، برنامه و شمارهٔ نسخهٔ آن، یا نشانی سرور.
• شرحی کوتاه از مشکل و اثر محتمل آن.
• مراحل بازتولید و، در صورت امکان، اثبات مفهوم (یک اسکرین‌شات، یک نمونه درخواست و پاسخ).
• چگونه با شما تماس بگیریم، و آیا می‌خواهید نامتان در فهرست قدردانی بیاید.

اگر به راه ارتباطی امن‌تری نیاز دارید، در نخستین ایمیل خود بگویید تا با هم راهی پیدا کنیم.

محدوده

آسیب‌پذیری‌ها در موارد زیر در محدودهٔ پذیرش هستند:

• colitu.com و همهٔ زیردامنه‌های آن
• api.colitu.com (API‌ای که برنامه‌ها استفاده می‌کنند)
• برنامه‌های Windows، Linux، Android و iOS
• افزونهٔ مرورگر
• سرویس‌های در دسترس عمومی سرورهای VPN (پورت‌های اتصال، نقاط پایانی بررسی و سرویس‌های وب در معرض اینترنت)

خارج از محدوده

گزارش‌های زیر را نمی‌پذیریم:

• حملهٔ محرومیت از سرویس (DoS) و آزمون بار
• مهندسی اجتماعی (از جمله فیشینگ علیه کارکنان یا کاربران)
• حمله‌های فیزیکی
• هرزنامه و ایمیل ناخواسته
• یافته‌ها در سرویس‌های شخص ثالث (مانند ارائه‌دهندگان هاستینگ، پرداخت و ایمیل)
• خروجی اسکنر خودکار بدون اثر اثبات‌شده
• یافته‌های بدون اثر به‌تنهایی، مانند نبود محدودیت نرخ

قواعد

• به داده‌ای بیش از آنچه برای اثبات مشکل لازم است دسترسی پیدا نکنید؛ داده‌ها را دانلود، تغییر یا حذف نکنید.
• به حساب کاربران دیگر دسترسی پیدا نکنید. برای آزمایش از حساب خودتان استفاده کنید.
• درخواست‌ها را با نرخی نفرستید که سرویس را مختل کند.
• 90 روز به ما فرصت بدهید تا مشکل را برطرف کنیم. پیش از پایان این مدت یا پیش از توافق ما، جزئیات را منتشر نکنید.
• از آسیب‌پذیری به‌عنوان اهرم چانه‌زنی یا فشار استفاده نکنید.

پناهگاه امن

پژوهشی را که با حسن‌نیت و در چارچوب این قواعد انجام دهید مجاز می‌دانیم. COLITU LIMITED علیه شما به‌خاطر پژوهشی که در این قواعد بماند اقدام قانونی نخواهد کرد. اقدامات خارج از این قواعد مشمول این تعهد نیستند.

زمان‌های پاسخ

تأیید دریافت گزارش شما

3 روز کاری

ارزیابی نخست (شدت و دامنه)

10 روز کاری

هدف رفع: بحرانی

7 روز

هدف رفع: بالا

30 روز

هدف رفع: متوسط

90 روز

این زمان‌ها هدف هستند. اگر مشکلی پیچیده به زمان بیشتری نیاز داشته باشد، دلیل آن را به شما می‌گوییم.

پاداش و قدردانی

فعلاً جایزه نقدی نمی‌دهیم. برای گزارش‌های معتبری که برطرف می‌کنیم، با اجازهٔ شما نام یا نام کاربری شما را در فهرست قدردانی زیر می‌آوریم.

سپاس

هنوز موردی ثبت نشده است.