این صفحه یک ترجمهٔ ارفاقی است. در صورت وجود تفاوت با نسخهٔ انگلیسی، نسخهٔ انگلیسی معتبر است. مطالعهٔ نسخهٔ انگلیسی
افشای مسئولانه
مشکل امنیتی پیدا کرده‌اید؟ پیش از آنکه دیگران به‌سختی از آن مطلع شوند، به ما بگویید.
ما گزارشهای پژوهشگران بیرونی را جدی می‌گیریم و ترجیح میدهیم مستقیماً از شما بشنویم تا اینکه بعد از وقوع ماجرا به نوشته‌ای در این باره برسیم. این صفحه توضیح می‌دهد چه مواردی در محدوده قرار می‌گیرند، چگونه گزارش دهید و چه پاسخی از ما انتظار داشته باشید.
دامنه
این سیاست چه مواردی را پوشش می‌دهد.
در دامنه
- myshieldid.com و صفحات آمریکایی آن در myshieldid.com/us، دامنه‌های ارجاعی shieldid.ca و myshieldid.ca و زیردامنه‌های آن‌ها، از جمله وب‌سایت بازاریابی، جریان تأیید هویت و پورتال حساب کاربری
- API عمومی ShieldID
- احراز هویت، مدیریت نشست و کنترل دسترسی در هر سامانه‌ای که ShieldID اداره می‌کند
خارج از محدوده
- محصولات و سایت‌هایی که ما اداره نمی‌کنیم، حتی اگر از ShieldID استفاده کنند (RentKey، Crown Ledger و Trust Ledger مخاطبان امنیتی مخصوص به خود را دارند)
- سرویس‌های شخص ثالثی که با آن‌ها یکپارچه شده‌ایم، مگر آنکه مشکل در نحوه استفاده ما از آن‌ها باشد
نحوه گزارش‌دهی
برای ما ایمیل بفرستید. ابتدا مورد عمومی ثبت نکنید و مطلبی منتشر نکنید.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
لطفاً موارد زیر را ذکر کنید:
- نوع مشکل و نشانی URL، نقطه پایانی یا سامانه‌ی تحت تأثیر
- مراحل بازتولید یا یک نمونه اثبات مفهوم
- آنچه توانستید به آن دسترسی پیدا کنید یا انجام دهید و چگونگی تأیید آن
- هر ابزار یا اسکریپتی که استفاده کرده‌اید، تا بتوانیم مراحل شما را دقیقاً بازتولید کنیم
تعهدات ما
تأیید دریافت، بررسی واقعی و عدم پیگرد قانونی برای پژوهش با حسن نیت.
تأیید دریافت
هدف ما این است که ظرف سه روز کاری پس از دریافت، دریافت یک گزارش معتبر را تأیید کنیم. این یک هدف است که آن را علناً اعلام می‌کنیم، نه میانگینی که اندازه‌گیری شده باشد.
بررسی واقعی
هر گزارش را کسی بررسی می‌کند که می‌تواند روی آن اقدام کند، نه اینکه توسط فرمی که به جایی نمی‌رسد فیلتر شود.
عدم اقدام قانونی برای پژوهش با حسن نیت
اگر آسیب‌پذیری‌ای را با حسن نیت، در محدوده این سیاست و بدون دسترسی، تغییر یا استخراج داده فراتر از آنچه برای اثبات مشکل لازم است، پیدا و گزارش کنید، ما به‌خاطر آن پژوهش علیه شما اقدام قانونی نخواهیم کرد.
فعلاً برنامه جایزه باگ نداریم
در حال حاضر برنامه پولی جایزه باگ (bug bounty) نداریم. پاداشی را که نمی‌توانیم به آن متعهد شویم وعده نمیدهیم، اما قول میدهیم آنچه را برای ما می‌فرستید بخوانیم و بر اساس آن اقدام کنیم.
خارج از محدوده
لطفاً در قالب یک گزارش، هیچ‌یک از کارهای زیر را انجام ندهید.
- مهندسی اجتماعی علیه کارکنان، پیمانکاران یا مشتریان ما
- تلاش فیزیکی برای دسترسی به دفاتر یا زیرساخت ما
- آزمون منع سرویس (DoS) یا هر کاری که سرویس را برای متقاضیان واقعی مختل کند
- اسکن خودکار در حجمی که می‌تواند بر سایر کاربران اثر بگذارد، بدون پرسیدن از ما
- دسترسی، تغییر یا حذف دادههای شخص دیگر فراتر از آنچه برای اثبات یک مشکل لازم است
- هرزنامه، فیشینگ یا هرگونه تلاش برای آزمودن قضاوت خود کارکنان ما، نه سیستم
پناهگاه امن حقوقی
پژوهشی که با حسن نیت و در چارچوب این سیاست انجام شود مورد استقبال است.
ما پژوهش امنیتی انجام‌شده مطابق این سیاست را مجاز می‌دانیم و برای آن پژوهش اقدام قانونی آغاز نخواهیم کرد. این عبارت‌بندی عمومی پناهگاه امن حقوقی است و جایگزین مشاوره حقوقی مختص شرایط شما نیست — اگر مطمئن نیستید موردی در محدوده قرار دارد یا نه، پیش از آزمون از ما بپرسید.
پرسش‌ها
پاسخ‌های صریح درباره گزارش آسیبپذیری.
آماده گزارش‌دهی هستید؟
Email [email protected] with what you found.
مراحل بازتولید و آنچه توانستید به آن دسترسی پیدا کنید را بنویسید. بقیه کار با ما.