برنامج الإفصاح عن الثغرات الأمنية

ما يشمله النطاق

يُرجى اختبار ما يلي فقط:

• موقعنا الإلكتروني على talismanleads.io ونطاقاته الفرعية، بما في ذلك صفحات تسجيل الدخول والحساب والفوترة والأدوات المجانية.
• بوت Telegram الخاص بنا، @TalismanLeadsV1bot.
• واجهات API الخاصة بالموقع نفسه، عند الوصول إليها من حسابك الخاص.

إذا لم تكن متأكدًا مما إذا كان شيء ما تابعًا لنا، فاسألنا قبل اختباره.

ما يقع خارج النطاق

يُرجى عدم إرسال بلاغات بشأن ما يلي:

• الخدمات التي تديرها شركات أخرى، مثل Telegram وCloudflare وشبكات الدفع وأداة الدردشة المباشرة. يُرجى إبلاغ مالكيها بها.
• حسابات العملاء الآخرين وبياناتهم.
• ما صُممت أدوات الفحص والأدوات المجانية لدينا للقيام به، مثل إظهار ما إذا كان رقم أو عنوان بريد إلكتروني مرتبطًا بحساب.
• ما إذا كان عنوان بريد إلكتروني أو اسم مستخدم مسجلًا لدينا بالفعل، في صفحات إنشاء الحساب أو تسجيل الدخول أو إعادة تعيين كلمة المرور.
• سجلات البريد الإلكتروني (SPF وDKIM وDMARC وBIMI) أو سجلات DNSSEC أو CAA المفقودة أو الضعيفة، والنطاقات المشابهة.
• ترويسات الأمان المفقودة (CSP وHSTS وX-Frame-Options وما شابهها)، وعلامات ملفات تعريف الارتباط (cookie flags)، وإعدادات SSL/TLS مثل اختيار خوارزميات التشفير، ما لم تُظهر هجومًا عمليًا.
• أسماء البرامج وأرقام إصداراتها، ولافتات الخوادم (server banners)، والملفات العامة مثل robots.txt أو خريطة الموقع أو security.txt.
• المفاتيح المخصصة لتكون عامة، مثل مفاتيح CAPTCHA والتحليلات وعميل المتصفح الموجودة في الشيفرة المصدرية للصفحة.
• self-XSS، وclickjacking أو CSRF في الصفحات التي لا تتضمن أي إجراء حساس، وCSRF الخاص بتسجيل الخروج، وعمليات إعادة التوجيه المفتوحة (open redirects) التي لا يترتب عليها أي أثر إضافي، وtabnabbing، وحقن النصوص الذي لا يشغّل أي برنامج نصي.
• حدود معدّل الطلبات في الصفحات والنماذج العامة، بما في ذلك الإغراق برسائل البريد الإلكتروني أو طلبات إنشاء الحساب، ما لم تُتِح لشخص ما الاستيلاء على حساب أو إنفاق أموال.
• قواعد كلمات المرور، ومدة الجلسة، وكون المصادقة الثنائية اختيارية أو غير متوفرة.
• الهجمات التي تتطلب وصولًا ماديًا، أو جهازًا مكسور الحماية (rooted أو jailbroken)، أو متصفحًا قديمًا، أو ضحية مخترَقة بالفعل.
• التصيد الاحتيالي والهندسة الاجتماعية وحجب الخدمة.
• كلمات المرور والبيانات الأخرى المأخوذة من اختراقات مواقع أخرى، ما لم تعمل على موقعنا.
• مخرجات الماسحات الآلية أو أدوات الذكاء الاصطناعي دون إثبات عملي، ونصائح أفضل الممارسات التي ليس لها أي أثر أمني.
• الأخطاء البرمجية التي ليس لها أي أثر أمني، والأسئلة المتعلقة بحسابك أو الفوترة. يُرجى استخدام صفحة الاتصال لهذه الأمور.

قد نغلق البلاغات المتعلقة بهذه الأمور دون رد.

كيفية الاختبار بأمان

• استخدم فقط الحسابات التي أنشأتها بنفسك، وفقط الأرقام وعناوين البريد الإلكتروني التي تملكها أو لديك إذن باستخدامها.
• لا تقرأ بيانات ليست لك ولا تغيّرها ولا تحذفها. وإذا وصلت إلى بيانات شخص آخر، فتوقف، ولا تحتفظ بنسخة منها، وأخبرنا بذلك.
• لا تُجرِ اختبارات حجب الخدمة، ولا تُغرق النماذج بالطلبات، ولا ترسل رسائل مزعجة، ولا تُبطئ الخدمة على الآخرين.
• لا تحاول خداع موظفينا أو عملائنا، ولا تحاول تنفيذ هجمات مادية.
• إذا منحتك مشكلة ما رصيدًا أو خدمات مدفوعة، فلا تستخدم منها أكثر مما تحتاج إليه لإثباتها، وأخبرنا بذلك حتى نتمكن من إلغائها.
• أبقِ المشكلة سرية إلى أن يتم إصلاحها ونتفق على الإفصاح عنها.

ما يجب تضمينه في بلاغك

• ما المشكلة وما الذي يمكن أن يفعله بها المهاجم.
• الصفحة أو مسار API أو أمر البوت المتأثر.
• خطوات إعادة إنتاجها، مع لقطات شاشة أو إثبات مفهوم.
• كيفية التواصل معك، والاسم الذي ترغب في أن يُنسب إليك الفضل به، إن وُجد.

يُرجى عدم تضمين البيانات الشخصية للآخرين في بلاغك.

ما يمكنك توقعه منا

• نؤكد استلام البلاغات الواقعة ضمن النطاق خلال 5 أيام عمل.
• نتحقق من المشكلة ونخبرك بما إذا كان بإمكاننا إعادة إنتاجها وبما سيحدث بعد ذلك.
• نُطلعك على المستجدات أثناء عملنا عليها، ونخبرك عند إصلاحها.
• إذا رغبت في ذلك، ننسب إليك الفضل عندما نكتب عن الإصلاح.

الملاذ الآمن

إذا تصرّفت بحسن نية والتزمت بهذه السياسة، فإننا نعدّ بحثك مصرّحًا به. ولن نتخذ أي إجراء قانوني ضدك ولن نبلّغ السلطات عنك بسبب ذلك. وإذا اتخذ طرف آخر إجراءً ضدك بسبب ذلك، فسنوضّح أنك تصرّفت وفقًا لهذه السياسة.

يقتصر ذلك على أنظمة TalismanLeads نفسها. ولا يمكننا التصريح باختبار أنظمة أي جهة أخرى. وإذا لم تكن متأكدًا مما إذا كان أمر ما مسموحًا به، فاسألنا أولًا.

الإفصاح العلني

يُرجى منحنا وقتًا معقولًا لإصلاح المشكلة قبل أن تنشر أي شيء عنها. نسعى إلى حل المشكلات المؤكدة خلال 90 يومًا، وسنتفق معك على موعد. تستغرق بعض المشكلات وقتًا أطول، وسنخبرك إذا كانت مشكلتك كذلك.

المكافآت

هذا برنامج إفصاح وليس برنامج مكافآت اكتشاف الثغرات (bug bounty)، لذلك لا ندفع مقابل البلاغات. نحن ممتنون لمساعدتك، ويسعدنا أن ننسب إليك الفضل فيها. تُغلق البلاغات التي تطلب الدفع قبل مشاركة التفاصيل دون رد.

قد نذكر اسمك أيضًا في لوحة الشرف لدينا بعد إصلاح المشكلة، مع ما اكتشفته. لا نذكر اسمك إلا بإذنك، ويمكنك أن تطلب منا إزالة إدخالك في أي وقت.