Kebijakan Keamanan

Terakhir diperbarui 17 October 2026

Kami menganggap serius keamanan YourImageShare dan orang-orang yang menggunakannya. Jika Anda menemukan celah keamanan, terima kasih telah memberi tahu kami. Halaman ini menjelaskan cara melaporkannya, apa yang dapat Anda harapkan dari kami, dan aturan untuk melakukan pengujian dengan aman.

1. Cara melaporkan celah keamanan

Kirim email ke [email protected], atau gunakan formulir kontak dan awali subjek dengan "Security". Mohon jangan melaporkan celah keamanan di tempat umum (isu GitHub, komentar, media sosial) sebelum celah tersebut diperbaiki.

Mohon sertakan:

  • deskripsi masalah dan apa yang dapat dilakukan penyerang dengan celah tersebut;
  • langkah-langkah pasti, URL, dan permintaan (request) yang diperlukan untuk mereproduksinya (proof of concept sangat diterima);
  • bagian yang terdampak: halaman situs web, endpoint API, ekstensi browser, plugin WordPress, SDK, bot;
  • bagaimana Anda ingin dicantumkan sebagai pelapor, jika Anda menginginkannya.

Detail kontak kami yang dapat dibaca mesin tersedia di /.well-known/security.txt.

2. Yang dapat Anda harapkan dari kami

  • Konfirmasi penerimaan dalam 5 hari kerja.
  • Penilaian awal (apakah kami dapat mereproduksinya dan seberapa serius dampaknya) dalam 10 hari kerja.
  • Perbaikan atau pembaruan status dalam 90 hari. Masalah serius kami perbaiki secepat mungkin, biasanya jauh lebih cepat.
  • Pengungkapan terkoordinasi. Mohon tunggu hingga masalah diperbaiki, atau hingga 90 hari berlalu, sebelum Anda mempublikasikan detailnya. Kami dengan senang hati menyepakati tanggal bersama Anda.

Kami adalah tim kecil. Kami akan selalu memberi kabar kepada Anda dan tidak akan mengabaikan laporan yang valid.

3. Safe harbour (perlindungan hukum)

Jika Anda dengan iktikad baik berusaha mengikuti kebijakan ini, kami menganggap riset Anda sebagai riset yang diizinkan. Kami tidak akan mengambil tindakan hukum terhadap Anda atau melaporkan Anda kepada penegak hukum karenanya, dan kami tidak akan memblokir akun Anda karenanya. Jika pihak ketiga mengambil tindakan hukum terhadap Anda atas riset yang mengikuti kebijakan ini, kami akan menyatakan bahwa pekerjaan Anda diizinkan.

Iktikad baik berarti Anda:

  • hanya menguji dengan akun dan upload milik Anda sendiri, atau dengan akun yang izin penggunaannya Anda miliki;
  • segera berhenti begitu Anda mencapai data orang lain (upload, detail akun, pesan), tidak menyimpan atau membagikannya, dan memberi tahu kami apa yang Anda akses;
  • tidak mengganggu layanan bagi pengguna lain (tanpa denial-of-service, tanpa pemindaian otomatis bervolume tinggi, tanpa spam);
  • tidak menggunakan rekayasa sosial, phishing, atau serangan fisik terhadap staf, pengguna, atau penyedia layanan kami;
  • memberi kami waktu yang wajar untuk memperbaiki masalah sebelum mengungkapkannya;
  • tidak pernah meng-upload konten ilegal, termasuk materi pelecehan seksual terhadap anak, dengan alasan apa pun.

Jika Anda tidak yakin apakah sesuatu diperbolehkan, tanyakan dahulu kepada kami di [email protected].

4. Termasuk dalam cakupan

  • yourimageshare.com dan subdomainnya (misalnya i.yourimageshare.com dan status.yourimageshare.com);
  • API upload publik, dokumentasinya, serta SDK resmi dan server MCP kami;
  • ekstensi browser, plugin WordPress, dan bot Telegram kami.

Contoh hal yang ingin kami ketahui: pengambilalihan akun, pembobolan autentikasi atau otorisasi, akses ke upload pribadi atau yang dilindungi kata sandi milik orang lain, cross-site scripting yang memengaruhi pengguna lain, cross-site request forgery pada tindakan yang mengubah data, server-side request forgery, injeksi, remote code execution, dan masalah dalam cara file yang di-upload diproses.

5. Di luar cakupan

Hal-hal berikut tidak dianggap sebagai celah keamanan kecuali Anda dapat menunjukkan dampak nyata bagi pengguna:

  • header HTTP, flag cookie, atau pengaturan TLS yang hilang atau tidak sesuai "praktik terbaik" tanpa serangan yang benar-benar berfungsi;
  • laporan konfigurasi SPF, DKIM, atau DMARC;
  • clickjacking pada halaman tanpa tindakan sensitif;
  • self-XSS, atau serangan yang memerlukan akses penuh ke perangkat atau browser korban;
  • pembatasan laju (rate limit) pada halaman publik, serta enumerasi nama pengguna atau email melalui profil publik;
  • laporan dari pemindai otomatis tanpa masalah yang terkonfirmasi dan dapat direproduksi;
  • serangan denial-of-service.

6. Konten ilegal atau penyalahgunaan bukan laporan keamanan

Untuk melaporkan upload yang ilegal, menyalahgunakan layanan, atau melanggar Syarat dan Ketentuan kami, gunakan tombol Laporkan pada item tersebut atau formulir laporan kami. Laporan semacam ini ditangani oleh tim moderasi kami, bukan melalui alamat email keamanan.

7. Hadiah dan penghargaan

Kami tidak menjalankan program bug bounty berbayar. Dengan izin Anda, kami akan menyampaikan terima kasih dengan menyebut nama (atau nama panggilan) Anda di bagian ucapan terima kasih di bawah dan dalam catatan rilis perbaikan.

8. Ucapan terima kasih

Kami berterima kasih kepada orang-orang berikut yang telah melaporkan masalah keamanan secara bertanggung jawab:

  • Belum ada laporan yang dicantumkan.