سياسة الأمان

نأخذ أمان YourImageShare والأشخاص الذين يستخدمونه على محمل الجد. إذا اكتشفت ثغرة أمنية، فشكراً لك على إبلاغنا. توضح هذه الصفحة كيفية الإبلاغ، وما يمكنك توقعه منا، وقواعد الاختبار الآمن.

1. كيفية الإبلاغ عن ثغرة

راسلنا على [email protected]، أو استخدم نموذج الاتصال وابدأ الموضوع بكلمة "Security". يرجى عدم الإبلاغ عن الثغرات في أماكن عامة (مثل GitHub issues أو التعليقات أو وسائل التواصل الاجتماعي) قبل إصلاحها.

يرجى تضمين ما يلي:

• وصف المشكلة وما يمكن للمهاجم فعله بها؛
• الخطوات الدقيقة والروابط والطلبات اللازمة لإعادة إنتاج المشكلة (ويفضَّل إرفاق إثبات للمفهوم)؛
• الجزء المتأثر: صفحة في الموقع، أو نقطة نهاية في API، أو إضافة المتصفح، أو إضافة WordPress، أو SDK، أو البوت؛
• الطريقة التي تفضّل أن نذكر بها اسمك، إن رغبت بذلك.

تفاصيل الاتصال القابلة للقراءة آلياً متوفرة في /.well-known/security.txt.

2. ما يمكنك توقعه منا

• تأكيد الاستلام خلال 5 أيام عمل.
• التقييم الأولي (هل يمكننا إعادة إنتاج المشكلة ومدى خطورتها) خلال 10 أيام عمل.
• إصلاح أو تحديث للحالة خلال 90 يوماً. تُصلَح المشكلات الخطيرة بأسرع ما يمكن، وغالباً في وقت أقصر بكثير.
• الإفصاح المنسّق. يرجى الانتظار حتى يتم إصلاح المشكلة، أو حتى مرور 90 يوماً، قبل نشر التفاصيل. يسعدنا الاتفاق معك على موعد.

نحن فريق صغير. سنبقيك على اطلاع ولن نتجاهل أي بلاغ صحيح.

3. الحماية القانونية (Safe harbour)

إذا بذلتَ جهداً بحسن نية لاتباع هذه السياسة، فإننا نعدّ بحثك مصرّحاً به. لن نتخذ إجراءً قانونياً ضدك ولن نبلّغ عنك جهات إنفاذ القانون بسببه، ولن نحظر حسابك بسببه. وإذا اتخذ طرف ثالث إجراءً قانونياً ضدك بسبب بحث التزم بهذه السياسة، فسنوضح أن عملك كان مصرّحاً به.

حسن النية يعني أن:

• تختبر فقط باستخدام حساباتك الخاصة وملفاتك المرفوعة الخاصة بك، أو حسابات لديك إذن باستخدامها؛
• تتوقف فور وصولك إلى بيانات أشخاص آخرين (الملفات المرفوعة أو تفاصيل الحسابات أو الرسائل)، ولا تحتفظ بها ولا تشاركها، وتخبرنا بما وصلتَ إليه؛
• لا تُضعف الخدمة للآخرين (لا هجمات حجب الخدمة، ولا فحص آلي مكثف، ولا رسائل مزعجة)؛
• لا تستخدم الهندسة الاجتماعية أو التصيّد أو الهجمات الجسدية ضد موظفينا أو مستخدمينا أو مزوّدينا؛
• تمنحنا وقتاً معقولاً لإصلاح المشكلة قبل الإفصاح عنها؛
• لا ترفع أبداً محتوى غير قانوني، بما في ذلك مواد الاعتداء الجنسي على الأطفال، لأي سبب كان.

إذا لم تكن متأكداً مما إذا كان أمر ما مسموحاً، فاسألنا أولاً على [email protected].

4. ما يدخل ضمن النطاق

• yourimageshare.com ونطاقاته الفرعية (مثل i.yourimageshare.com وstatus.yourimageshare.com)؛
• واجهة API العامة للرفع، ووثائقها، وحزم SDK الرسمية وخادم MCP الخاص بنا؛
• إضافات المتصفح لدينا، وإضافة WordPress، وبوت Telegram.

أمثلة على ما نرغب في معرفته: الاستيلاء على الحسابات، وتجاوز المصادقة أو التفويض، والوصول إلى ملفات الآخرين الخاصة أو المحمية بكلمة مرور، والبرمجة النصية عبر المواقع التي تؤثر على مستخدمين آخرين، وتزوير الطلبات عبر المواقع في الإجراءات التي تغيّر البيانات، وتزوير الطلبات من جهة الخادم، والحقن، وتنفيذ الشيفرة عن بُعد، والمشكلات في طريقة معالجة الملفات المرفوعة.

5. ما يخرج عن النطاق

لا تُعامَل هذه الأمور على أنها ثغرات إلا إذا أثبتَّ تأثيراً حقيقياً على المستخدمين:

• غياب ترويسات HTTP أو إعدادات ملفات تعريف الارتباط أو TLS أو كونها غير مطابقة لـ"أفضل الممارسات" دون هجوم فعلي؛
• تقارير إعدادات SPF أو DKIM أو DMARC؛
• الاختطاف بالنقر (clickjacking) في صفحات لا تتضمن إجراءات حساسة؛
• self-XSS، أو الهجمات التي تتطلب وصولاً كاملاً إلى جهاز الضحية أو متصفحه؛
• حدود معدل الطلبات في الصفحات العامة، وتعداد أسماء المستخدمين أو عناوين البريد الإلكتروني عبر الملفات الشخصية العامة؛
• تقارير الماسحات الآلية دون مشكلة مؤكدة يمكن إعادة إنتاجها؛
• هجمات حجب الخدمة.

6. المحتوى غير القانوني أو المسيء ليس بلاغاً أمنياً

للإبلاغ عن ملف مرفوع غير قانوني أو مسيء أو يخالف الشروط والأحكام، استخدم زر الإبلاغ الموجود على العنصر أو نموذج الإبلاغ. يتولى فريق الإشراف لدينا معالجة هذه البلاغات، وليس عبر عنوان الأمان.

7. المكافآت والتقدير

لا نُدير برنامج مكافآت مدفوعة للثغرات. وبإذنك، سنشكرك باسمك (أو اسمك المستعار) في قسم الشكر أدناه وفي ملاحظات الإصدار الخاصة بالإصلاح.

8. شكر وتقدير

نشكر الأشخاص التالية أسماؤهم على إبلاغهم بمسؤولية عن مشكلات أمنية:

• لا توجد بلاغات منسوبة لأصحابها حتى الآن.