سياسة الإفصاح عن نقاط الضعف

التزامنا

نحن نولي أمن مستخدمينا وبياناتهم أهمية قصوى. نرحب بتقارير باحثي الأمن، وسنعمل معكم على فهم أي مشكلة وحلها بسرعة. ولن نتخذ أي إجراء قانوني ضدكم بسبب أبحاث الأمن التي تُجرى بحسن نية وفقًا لهذه السياسة.

مجال

ضمن النطاق

• ahaslides.com ومجالاتها الفرعية (على سبيل المثال Presenter.ahaslides.com و ahaslides.com)
• تطبيق AhaSlides الإلكتروني، وتطبيقات المُقدّم والجمهور

خارج النطاق

• اختبارات حجب الخدمة (DoS/DDoS) واختبارات حجم البيانات أو إغراق حركة المرور
• الهندسة الاجتماعية للموظفين أو المستخدمين أو المتعاقدين؛ الهجمات الجسدية
• البريد العشوائي، أو النتائج التي توصلت إليها الماسحات الضوئية الآلية دون وجود تأثير واضح وقابل للاستغلال
• تقارير تؤثر فقط على المتصفحات غير المدعومة أو التي انتهى دعمها
• خدمات الطرف الثالث التي لا نتحكم بها (يرجى التواصل مع الطرف الثالث بشأنها).
• وصول الجمهور المفتوح (غير المصادق عليه): يتيح تطبيق الجمهور عمداً لأي شخص الانضمام إلى العرض التقديمي وإرسال الردود دون حساب أو تسجيل دخول، حتى يتمكن الجمهور من المشاركة بحرية. ولا تُعتبر التقارير التي تفيد بأن عملية انضمام الجمهور أو إرسال الردود تفتقر إلى المصادقة ثغرات أمنية.
• اقتراحات أفضل الممارسات التي لا تؤثر على الأمن (مثل غياب بعض العناوين دون استغلالها، أو التدقيق في بروتوكولات SPF/DMARC، أو ثغرات XSS الذاتية، أو آراء حول تحديد معدل الطلبات). هذه الاقتراحات مرحب بها، ولكن لا تُعتبر ثغرات أمنية.

قواعد الاشتباك

من فضلك قم do:

• أبلغنا فوراً عند اكتشاف أي مشكلة، وأعطنا وقتاً معقولاً لإصلاحها قبل الكشف عنها علناً.
• استخدم حساباتك التجريبية الخاصة فقط. توقف عند مرحلة إثبات المفهوم.

من فضلك قم لا:

• لا يجوز الوصول إلى بيانات ليست ملكك أو تعديلها أو تنزيلها أو حذفها. ولإثبات الوصول، يكفي تقديم لقطة شاشة أو سجل مختصر ومنقح، لذا يُرجى عدم تسريب بيانات المستخدمين الحقيقية.
• إضعاف خدماتنا أو تعطيلها، أو شن هجمات آلية عالية الحجم.
• الكشف عن المشكلة علنًا قبل أن نؤكد حلها (انظر الإفشاء المنسق).

كيفية الإبلاغ

البريد الإلكتروني security@ahaslides.com مع:

1. وصف واضح لنقاط الضعف وتأثيرها.
2. شرح تفصيلي لكيفية إعادة إنتاج المشكلة، بما في ذلك عنوان URL أو نقطة النهاية المتأثرة.
3. إثبات المفهوم (لقطات شاشة، أو مقطع فيديو قصير، أو طلب بسيط)، تم تنقيحه.
4. اسمك أو اسم المستخدم الخاص بك للحصول على رصيد (اختياري).

ما الذي يمكن أن تتوقعه منا

• شكر وتقدير في غضون أيام عمل 2.
• A قرار الفرز (صالح، يحتاج إلى مزيد من المعلومات، أو خارج النطاق) ضمن أيام عمل 5.
• نقدم تحديثات منتظمة أثناء عملنا على إصلاح المشكلة، وسنبلغكم عند حلها.
• إذا رغبتم في ذلك، يمكنكم ذكر اسمكم علنًا في قسم إقرارات الأمان لدينا.

الإفشاء المنسق

نرجو منكم الحفاظ على سرية التفاصيل حتى نتأكد من تطبيق الإصلاح، والتنسيق معنا في أي تقرير علني. الفترة الزمنية المستهدفة للإصلاح هي 90 يومإذا احتجنا إلى وقت أطول، فسوف نخبرك بالسبب.

تقدير

شركة AhaSlides شركة نامية، ولا تُدير برنامج مكافآت مدفوعاً ثابتاً ومنشوراً. في حال كان التقرير صحيحاً وأصلياً ومُفصحاً عنه بمسؤولية، يجوز لنا، وفقاً لتقديرنا، تقديم مكافأة رمزية و/أو إشادة عامة كشكر وتقدير.

تقارير مكررة. عندما يبلغ عدة أشخاص عن نفس المشكلة، أول تقرير قابل للتكرار نتلقاه هو الشخص المؤهل لأي مكافأة. وقد يحصل مراسلون لاحقون لنفس القضية على تقدير عام إذا أضافوا معلومات جديدة جوهرية (على سبيل المثال، تأثير أشد، أو نسخة أفضل، أو سطح متضرر إضافي).

مشاكل معروفة مسبقاً. إذا كنا على علمٍ مسبقٍ بالمشكلة وسجلناها داخليًا قبل وصول تقريرك، فسنُقرّ بوجودها ونشكرك عليها، ولكنها لن تكون مؤهلةً للحصول على مكافأة. وكما هو الحال مع التقارير المكررة، قد نُقدّم تقديرًا عامًا إذا أضاف تقريرك معلوماتٍ جديدةً جوهرية.

نحن ممتنون دائماً لمساعدتكم في الحفاظ على سلامة AhaSlides.