নিরাপত্তা নীতি

YourImageShare এবং যাঁরা এটি ব্যবহার করেন তাঁদের নিরাপত্তাকে আমরা গুরুত্বের সঙ্গে নিই। আপনি যদি কোনো নিরাপত্তা দুর্বলতা খুঁজে পেয়ে থাকেন, আমাদের জানানোর জন্য ধন্যবাদ। এই পাতায় ব্যাখ্যা করা হয়েছে কীভাবে তা জানাবেন, আমাদের কাছ থেকে কী আশা করতে পারেন এবং নিরাপদে পরীক্ষা করার নিয়মগুলো কী।

১. কীভাবে দুর্বলতা জানাবেন

[email protected] ঠিকানায় ইমেইল করুন, অথবা যোগাযোগ ফর্ম ব্যবহার করুন এবং বিষয়ের শুরুতে "Security" লিখুন। দুর্বলতা ঠিক হওয়ার আগে অনুগ্রহ করে কোনো প্রকাশ্য জায়গায় (GitHub issues, মন্তব্য, সোশ্যাল মিডিয়া) তা জানাবেন না।

অনুগ্রহ করে এগুলো উল্লেখ করুন:

• সমস্যার বিবরণ এবং একজন আক্রমণকারী এটি দিয়ে কী করতে পারে;
• সমস্যাটি পুনরায় ঘটাতে প্রয়োজনীয় সঠিক ধাপ, URL ও request (proof of concept থাকলে ভালো);
• কোন অংশ প্রভাবিত: ওয়েবসাইটের পাতা, API endpoint, ব্রাউজার এক্সটেনশন, WordPress প্লাগইন, SDK, বট;
• আপনাকে কীভাবে কৃতজ্ঞতা জানানো হবে, যদি আদৌ চান।

আমাদের মেশিন-রিডেবল যোগাযোগের তথ্য আছে /.well-known/security.txt-এ।

২. আমাদের কাছ থেকে যা আশা করতে পারেন

• ৫ কার্যদিবসের মধ্যে প্রাপ্তিস্বীকার।
• ১০ কার্যদিবসের মধ্যে প্রাথমিক মূল্যায়ন (আমরা সমস্যাটি পুনরায় ঘটাতে পারছি কি না এবং এটি কতটা গুরুতর)।
• ৯০ দিনের মধ্যে সমাধান বা অগ্রগতির আপডেট। গুরুতর সমস্যা যত দ্রুত সম্ভব ঠিক করা হয়, সাধারণত অনেক আগেই।
• সমন্বিত প্রকাশ। বিস্তারিত প্রকাশ করার আগে অনুগ্রহ করে সমস্যাটি ঠিক হওয়া পর্যন্ত, অথবা ৯০ দিন পার না হওয়া পর্যন্ত অপেক্ষা করুন। আপনার সঙ্গে একটি তারিখ ঠিক করতে আমরা আনন্দিত।

আমরা একটি ছোট দল। আমরা আপনাকে জানিয়ে রাখব এবং কোনো বৈধ রিপোর্ট উপেক্ষা করব না।

৩. নিরাপদ আশ্রয় (Safe harbour)

আপনি সদুদ্দেশ্যে এই নীতি মেনে চলার চেষ্টা করলে আমরা আপনার গবেষণাকে অনুমোদিত বলে বিবেচনা করব। এর জন্য আমরা আপনার বিরুদ্ধে আইনি ব্যবস্থা নেব না, আইনশৃঙ্খলা রক্ষাকারী সংস্থার কাছে অভিযোগ করব না এবং আপনার অ্যাকাউন্টও নিষিদ্ধ করব না। এই নীতি মেনে করা গবেষণার জন্য কোনো তৃতীয় পক্ষ আপনার বিরুদ্ধে আইনি ব্যবস্থা নিলে, আমরা জানিয়ে দেব যে আপনার কাজ অনুমোদিত ছিল।

সদুদ্দেশ্য বলতে বোঝায়, আপনি:

• শুধু নিজের অ্যাকাউন্ট ও নিজের আপলোড দিয়ে, অথবা ব্যবহারের অনুমতি আছে এমন অ্যাকাউন্ট দিয়ে পরীক্ষা করবেন;
• অন্যদের ডেটায় (আপলোড, অ্যাকাউন্টের তথ্য, বার্তা) পৌঁছালেই থেমে যাবেন, তা রাখবেন না বা শেয়ার করবেন না, এবং কী দেখেছেন তা আমাদের জানাবেন;
• অন্যদের জন্য সেবার মান নষ্ট করবেন না (কোনো denial-of-service নয়, বিপুল পরিমাণ স্বয়ংক্রিয় স্ক্যান নয়, স্প্যাম নয়);
• আমাদের কর্মী, ব্যবহারকারী বা সেবাদাতাদের বিরুদ্ধে সোশ্যাল ইঞ্জিনিয়ারিং, ফিশিং বা শারীরিক আক্রমণ করবেন না;
• প্রকাশ করার আগে সমস্যা ঠিক করার জন্য আমাদের যুক্তিসঙ্গত সময় দেবেন;
• কোনো কারণেই শিশু যৌন নির্যাতনের উপকরণসহ কোনো অবৈধ কনটেন্ট আপলোড করবেন না।

কোনো কিছু অনুমোদিত কি না নিশ্চিত না হলে আগে [email protected] ঠিকানায় আমাদের জিজ্ঞাসা করুন।

৪. পরিধির মধ্যে যা আছে

• yourimageshare.com এবং এর সাবডোমেইন (যেমন i.yourimageshare.com ও status.yourimageshare.com);
• পাবলিক আপলোড API, এর ডকুমেন্টেশন এবং আমাদের অফিসিয়াল SDK ও MCP সার্ভার;
• আমাদের ব্রাউজার এক্সটেনশন, WordPress প্লাগইন ও Telegram বট।

যেসব বিষয় আমরা জানতে চাই তার উদাহরণ: অ্যাকাউন্ট দখল, authentication বা authorisation বাইপাস, অন্যদের ব্যক্তিগত বা পাসওয়ার্ড-সুরক্ষিত আপলোডে প্রবেশ, অন্য ব্যবহারকারীদের প্রভাবিত করে এমন cross-site scripting, ডেটা পরিবর্তনকারী কাজে cross-site request forgery, server-side request forgery, injection, remote code execution, এবং আপলোড করা ফাইল প্রক্রিয়াকরণের সমস্যা।

৫. পরিধির বাইরে যা আছে

ব্যবহারকারীদের ওপর প্রকৃত প্রভাব দেখাতে না পারলে এগুলোকে দুর্বলতা হিসেবে গণ্য করা হয় না:

• কার্যকর আক্রমণ ছাড়া HTTP header, cookie flag বা TLS সেটিংসের অনুপস্থিতি বা "best practice" সংক্রান্ত বিষয়;
• SPF, DKIM বা DMARC কনফিগারেশন সংক্রান্ত রিপোর্ট;
• সংবেদনশীল কাজ নেই এমন পাতায় clickjacking;
• self-XSS, অথবা ভুক্তভোগীর ডিভাইস বা ব্রাউজারে পূর্ণ প্রবেশাধিকার প্রয়োজন এমন আক্রমণ;
• পাবলিক পাতায় rate limit, এবং পাবলিক প্রোফাইলের মাধ্যমে ইউজারনেম বা ইমেইল শনাক্ত করা;
• নিশ্চিত ও পুনরুৎপাদনযোগ্য সমস্যা ছাড়া স্বয়ংক্রিয় স্ক্যানারের রিপোর্ট;
• denial-of-service আক্রমণ।

৬. অবৈধ বা আপত্তিকর কনটেন্ট নিরাপত্তা রিপোর্ট নয়

কোনো আপলোড অবৈধ, আপত্তিকর বা আমাদের শর্তাবলী ভঙ্গ করলে তা জানাতে আইটেমের Report বোতাম বা আমাদের রিপোর্ট ফর্ম ব্যবহার করুন। এসব রিপোর্ট আমাদের মডারেশন দল দেখে, নিরাপত্তা ইমেইল ঠিকানার মাধ্যমে নয়।

৭. পুরস্কার ও স্বীকৃতি

আমরা অর্থপ্রদানকারী কোনো bug bounty চালাই না। আপনার অনুমতি নিয়ে নিচের কৃতজ্ঞতা তালিকায় এবং সমাধানের রিলিজ নোটে আপনার নাম (বা হ্যান্ডেল) উল্লেখ করে ধন্যবাদ জানাব।

৮. কৃতজ্ঞতা স্বীকার

দায়িত্বশীলভাবে নিরাপত্তা সমস্যা জানানোর জন্য আমরা নিচের ব্যক্তিদের ধন্যবাদ জানাই:

• এখনও কোনো রিপোর্টের স্বীকৃতি দেওয়া হয়নি।