सुरक्षा धोरण

YourImageShare ची आणि ते वापरणाऱ्या लोकांची सुरक्षा आम्ही गांभीर्याने घेतो. तुम्हाला एखादी सुरक्षा त्रुटी (vulnerability) आढळली असेल, तर आम्हाला कळवल्याबद्दल धन्यवाद. ही त्रुटी कशी कळवायची, आमच्याकडून तुम्ही काय अपेक्षा ठेवू शकता आणि सुरक्षितपणे चाचणी करण्याचे नियम काय आहेत, हे या पानावर सांगितले आहे.

1. त्रुटीची तक्रार कशी करावी

[email protected] वर ईमेल करा, किंवा संपर्क फॉर्म वापरा आणि विषयाची सुरुवात "Security" ने करा. त्रुटी दुरुस्त होण्यापूर्वी ती सार्वजनिक ठिकाणी (GitHub issues, कमेंट्स, सोशल मीडिया) कळवू नका.

कृपया यात खालील माहिती द्या:

• समस्येचे वर्णन आणि हल्लेखोर त्याचा काय गैरवापर करू शकतो;
• ती पुन्हा घडवून आणण्यासाठी लागणाऱ्या अचूक पायऱ्या, URL आणि विनंत्या (proof of concept असल्यास स्वागत);
• कोणता भाग प्रभावित आहे: वेबसाइट पान, API endpoint, ब्राउझर एक्सटेंशन, WordPress प्लगइन, SDK, बॉट;
• तुमचे नाव श्रेय म्हणून कसे द्यावे, किंवा द्यावे की नाही.

आमचे मशीन-वाचनीय संपर्क तपशील /.well-known/security.txt मध्ये आहेत.

2. आमच्याकडून तुम्ही काय अपेक्षा ठेवू शकता

• 5 कामकाजाच्या दिवसांत पोच.
• 10 कामकाजाच्या दिवसांत पहिले मूल्यांकन (आम्ही ती पुन्हा घडवू शकतो का आणि ती किती गंभीर आहे).
• 90 दिवसांत दुरुस्ती किंवा स्थितीची माहिती. गंभीर समस्या आम्ही शक्य तितक्या लवकर दुरुस्त करतो, बहुतेकदा खूप आधी.
• समन्वयाने प्रकटीकरण. तपशील प्रकाशित करण्यापूर्वी कृपया समस्या दुरुस्त होईपर्यंत किंवा 90 दिवस उलटेपर्यंत थांबा. तुमच्यासोबत तारीख ठरवण्यास आम्हाला आनंद होईल.

आम्ही एक छोटी टीम आहोत. आम्ही तुम्हाला माहिती देत राहू आणि योग्य तक्रारीकडे दुर्लक्ष करणार नाही.

3. सुरक्षित संरक्षण (Safe harbour)

तुम्ही हे धोरण पाळण्याचा सद्भावनेने प्रयत्न केल्यास, तुमचे संशोधन अधिकृत मानले जाईल. त्यासाठी आम्ही तुमच्यावर कायदेशीर कारवाई करणार नाही, तुम्हाला कायदा अंमलबजावणी यंत्रणांकडे कळवणार नाही आणि तुमचे खाते बंद करणार नाही. या धोरणाचे पालन करणाऱ्या संशोधनासाठी एखाद्या तृतीय पक्षाने तुमच्यावर कायदेशीर कारवाई केल्यास, तुमचे काम अधिकृत होते हे आम्ही कळवू.

सद्भावना म्हणजे तुम्ही:

• फक्त तुमची स्वतःची खाती आणि स्वतःचे अपलोड वापरून, किंवा वापरण्याची परवानगी असलेल्या खात्यांवर चाचणी करता;
• इतरांच्या डेटापर्यंत (अपलोड, खात्याचे तपशील, संदेश) पोहोचताच थांबता, तो ठेवत किंवा शेअर करत नाही, आणि तुम्ही काय पाहिले ते आम्हाला सांगता;
• इतरांसाठी सेवा बिघडवत नाही (denial-of-service नाही, मोठ्या प्रमाणात स्वयंचलित स्कॅनिंग नाही, स्पॅम नाही);
• आमचे कर्मचारी, वापरकर्ते किंवा सेवा पुरवठादार यांच्यावर सोशल इंजिनिअरिंग, फिशिंग किंवा प्रत्यक्ष हल्ले करत नाही;
• त्रुटी जाहीर करण्यापूर्वी दुरुस्तीसाठी आम्हाला वाजवी वेळ देता;
• कोणत्याही कारणासाठी बेकायदेशीर मजकूर, बाल लैंगिक शोषण साहित्यासह, कधीही अपलोड करत नाही.

एखादी गोष्ट परवानगी असलेली आहे की नाही याबद्दल शंका असल्यास, आधी [email protected] वर आम्हाला विचारा.

4. कक्षेत समाविष्ट

• yourimageshare.com आणि त्याचे सबडोमेन (उदा. i.yourimageshare.com आणि status.yourimageshare.com);
• सार्वजनिक अपलोड API, त्याचे दस्तऐवज आणि आमचे अधिकृत SDK व MCP सर्व्हर;
• आमचे ब्राउझर एक्सटेंशन, WordPress प्लगइन आणि Telegram बॉट.

आम्हाला कोणत्या गोष्टींबद्दल ऐकायचे आहे याची उदाहरणे: खाते ताब्यात घेणे, ऑथेंटिकेशन किंवा ऑथोरायझेशन बायपास, इतरांचे खाजगी किंवा पासवर्ड-संरक्षित अपलोड पाहता येणे, इतर वापरकर्त्यांवर परिणाम करणारे cross-site scripting, डेटा बदलणाऱ्या कृतींवरील cross-site request forgery, server-side request forgery, injection, remote code execution आणि अपलोड केलेल्या फाइल्सवर प्रक्रिया करण्यातील समस्या.

5. कक्षेबाहेर

वापरकर्त्यांवर प्रत्यक्ष परिणाम होतो हे तुम्ही दाखवू शकत नसाल, तर या गोष्टी त्रुटी मानल्या जात नाहीत:

• प्रत्यक्ष चालणाऱ्या हल्ल्याशिवाय, गहाळ किंवा "best practice" HTTP headers, कुकी फ्लॅग किंवा TLS सेटिंग्ज;
• SPF, DKIM किंवा DMARC कॉन्फिगरेशन अहवाल;
• संवेदनशील कृती नसलेल्या पानांवरील clickjacking;
• self-XSS, किंवा पीडिताच्या डिव्हाइस अथवा ब्राउझरवर पूर्ण प्रवेश आवश्यक असलेले हल्ले;
• सार्वजनिक पानांवरील rate limits, आणि सार्वजनिक प्रोफाइलद्वारे वापरकर्तानाव किंवा ईमेल शोधणे;
• पुष्टी झालेल्या, पुन्हा घडवता येणाऱ्या समस्येशिवाय स्वयंचलित स्कॅनरचे अहवाल;
• denial-of-service हल्ले.

6. बेकायदेशीर किंवा गैरवापर करणारा मजकूर हा सुरक्षा अहवाल नाही

बेकायदेशीर, गैरवापर करणारा किंवा आमच्या अटी व शर्ती मोडणारा अपलोड कळवण्यासाठी, त्या आयटमवरील Report बटण किंवा आमचा तक्रार फॉर्म वापरा. अशा तक्रारी आमची मॉडरेशन टीम हाताळते, सुरक्षा पत्त्याद्वारे नाही.

7. बक्षीस आणि श्रेय

आम्ही सशुल्क bug bounty चालवत नाही. तुमच्या परवानगीने, खालील आभार यादीत आणि दुरुस्तीच्या रिलीज नोट्समध्ये आम्ही तुमचे नाव (किंवा हँडल) देऊन आभार मानू.

8. आभार

जबाबदारीने सुरक्षा समस्या कळवल्याबद्दल आम्ही खालील व्यक्तींचे आभार मानतो:

• अद्याप कोणत्याही तक्रारीला श्रेय दिलेले नाही.