सुरक्षा नीति

हम YourImageShare की सुरक्षा और इसे इस्तेमाल करने वाले लोगों की सुरक्षा को गंभीरता से लेते हैं। अगर आपको कोई सुरक्षा कमज़ोरी (vulnerability) मिली है, तो हमें बताने के लिए धन्यवाद। इस पेज पर बताया गया है कि रिपोर्ट कैसे करें, आप हमसे क्या उम्मीद कर सकते हैं, और सुरक्षित तरीके से टेस्ट करने के नियम क्या हैं।

1. कमज़ोरी की रिपोर्ट कैसे करें

[email protected] पर ईमेल करें, या संपर्क फ़ॉर्म का उपयोग करें और विषय की शुरुआत "Security" से करें। कृपया कमज़ोरियों को ठीक होने से पहले सार्वजनिक जगहों (GitHub issues, कमेंट, सोशल मीडिया) पर रिपोर्ट न करें।

कृपया इसमें शामिल करें:

• समस्या का विवरण और हमलावर इसके ज़रिए क्या कर सकता है;
• इसे दोहराने के लिए ज़रूरी सटीक स्टेप, URL और रिक्वेस्ट (proof of concept का स्वागत है);
• प्रभावित हिस्सा: वेबसाइट पेज, API endpoint, ब्राउज़र एक्सटेंशन, WordPress प्लगइन, SDK, बॉट;
• अगर आप चाहते हैं कि आपको श्रेय दिया जाए, तो किस नाम से।

हमारी मशीन-रीडेबल संपर्क जानकारी /.well-known/security.txt में है।

2. आप हमसे क्या उम्मीद कर सकते हैं

• 5 कार्यदिवसों के भीतर पावती।
• 10 कार्यदिवसों के भीतर पहला आकलन (हम इसे दोहरा पाए या नहीं और यह कितनी गंभीर है)।
• 90 दिनों के भीतर फ़िक्स या स्टेटस अपडेट। गंभीर समस्याएँ जितनी जल्दी हो सके ठीक की जाती हैं, आमतौर पर इससे काफ़ी पहले।
• समन्वित खुलासा। कृपया विवरण प्रकाशित करने से पहले समस्या ठीक होने तक, या 90 दिन बीतने तक इंतज़ार करें। हम आपके साथ तारीख़ तय करने को तैयार हैं।

हम एक छोटी टीम हैं। हम आपको जानकारी देते रहेंगे और किसी वैध रिपोर्ट को नज़रअंदाज़ नहीं करेंगे।

3. सेफ़ हार्बर

अगर आप सद्भावना से इस नीति का पालन करने की कोशिश करते हैं, तो हम आपकी रिसर्च को अधिकृत मानते हैं। हम इसके लिए आपके ख़िलाफ़ कानूनी कार्रवाई नहीं करेंगे, आपको कानून प्रवर्तन एजेंसियों को रिपोर्ट नहीं करेंगे, और इसके कारण आपका अकाउंट बैन नहीं करेंगे। अगर कोई तीसरा पक्ष इस नीति का पालन करने वाली रिसर्च के लिए आपके ख़िलाफ़ कानूनी कार्रवाई करता है, तो हम यह स्पष्ट करेंगे कि आपका काम अधिकृत था।

सद्भावना का मतलब है कि आप:

• केवल अपने अकाउंट और अपने अपलोड के साथ टेस्ट करें, या ऐसे अकाउंट के साथ जिन्हें इस्तेमाल करने की आपके पास अनुमति है;
• दूसरे लोगों के डेटा (अपलोड, अकाउंट की जानकारी, संदेश) तक पहुँचते ही रुक जाएँ, उसे न रखें और न साझा करें, और हमें बताएँ कि आपने क्या एक्सेस किया;
• दूसरों के लिए सेवा को ख़राब न करें (कोई denial-of-service नहीं, भारी मात्रा में ऑटोमेटेड स्कैनिंग नहीं, स्पैम नहीं);
• हमारे स्टाफ़, उपयोगकर्ताओं या प्रदाताओं के ख़िलाफ़ सोशल इंजीनियरिंग, फ़िशिंग या फ़िज़िकल हमले न करें;
• खुलासा करने से पहले हमें समस्या ठीक करने के लिए उचित समय दें;
• किसी भी कारण से कभी भी अवैध कंटेंट, जिसमें बाल यौन शोषण सामग्री शामिल है, अपलोड न करें।

अगर आप निश्चित नहीं हैं कि कुछ करना allowed है या नहीं, तो पहले हमसे [email protected] पर पूछ लें।

4. दायरे के अंदर

• yourimageshare.com और इसके सबडोमेन (जैसे i.yourimageshare.com और status.yourimageshare.com);
• सार्वजनिक अपलोड API, उसके डॉक्यूमेंटेशन और हमारे आधिकारिक SDK व MCP सर्वर;
• हमारे ब्राउज़र एक्सटेंशन, WordPress प्लगइन और Telegram बॉट।

हम इन चीज़ों के बारे में जानना चाहते हैं: अकाउंट टेकओवर, ऑथेंटिकेशन या ऑथराइज़ेशन बायपास, दूसरों के निजी या पासवर्ड-सुरक्षित अपलोड तक पहुँच, ऐसा cross-site scripting जो दूसरे उपयोगकर्ताओं को प्रभावित करे, डेटा बदलने वाली कार्रवाइयों पर cross-site request forgery, server-side request forgery, injection, remote code execution, और अपलोड की गई फ़ाइलों की प्रोसेसिंग में समस्याएँ।

5. दायरे के बाहर

इन्हें कमज़ोरी नहीं माना जाएगा, जब तक आप उपयोगकर्ताओं पर वास्तविक प्रभाव न दिखा सकें:

• बिना किसी काम करने वाले हमले के, गायब या "best practice" वाले HTTP हेडर, कुकी फ़्लैग या TLS सेटिंग;
• SPF, DKIM या DMARC कॉन्फ़िगरेशन रिपोर्ट;
• संवेदनशील कार्रवाइयों के बिना पेजों पर clickjacking;
• self-XSS, या ऐसे हमले जिनके लिए पीड़ित के डिवाइस या ब्राउज़र तक पूरी पहुँच चाहिए;
• सार्वजनिक पेजों पर रेट लिमिट, और सार्वजनिक प्रोफ़ाइल के ज़रिए यूज़रनेम या ईमेल की पहचान;
• ऑटोमेटेड स्कैनर की ऐसी रिपोर्ट जिनमें पुष्ट और दोहराई जा सकने वाली समस्या न हो;
• denial-of-service हमले।

6. अवैध या आपत्तिजनक कंटेंट सुरक्षा रिपोर्ट नहीं है

किसी अवैध, आपत्तिजनक या हमारी नियम और शर्तों का उल्लंघन करने वाले अपलोड की रिपोर्ट करने के लिए, आइटम पर मौजूद Report बटन या हमारा रिपोर्ट फ़ॉर्म इस्तेमाल करें। ऐसी रिपोर्ट हमारी मॉडरेशन टीम संभालती है, सुरक्षा ईमेल पते के ज़रिए नहीं।

7. इनाम और श्रेय

हम पेड बग बाउंटी नहीं चलाते। आपकी अनुमति से, हम नीचे दिए गए आभार-सूची में और फ़िक्स के रिलीज़ नोट्स में आपके नाम (या हैंडल) के साथ आपका धन्यवाद करेंगे।

8. आभार

सुरक्षा समस्याओं की ज़िम्मेदारी से रिपोर्ट करने के लिए हम इन लोगों का धन्यवाद करते हैं:

• अभी तक किसी रिपोर्ट को श्रेय नहीं दिया गया है।