Güvenlik Politikası

YourImageShare'in ve onu kullanan insanların güvenliğini ciddiye alıyoruz. Bir güvenlik açığı bulduysanız bize bildirdiğiniz için teşekkür ederiz. Bu sayfada açığı nasıl bildireceğinizi, bizden neler bekleyebileceğinizi ve güvenli test kurallarını bulabilirsiniz.

1. Güvenlik açığı nasıl bildirilir?

[email protected] adresine e-posta gönderin veya iletişim formunu kullanın ve konu satırını "Security" ile başlatın. Lütfen güvenlik açıklarını düzeltilmeden önce herkese açık yerlerde (GitHub issue'ları, yorumlar, sosyal medya) bildirmeyin.

Lütfen şunları ekleyin:

• sorunun açıklamasını ve bir saldırganın bununla neler yapabileceğini;
• sorunu yeniden oluşturmak için gereken tam adımları, URL'leri ve istekleri (kavram kanıtı memnuniyetle karşılanır);
• etkilenen bölümü: web sitesi sayfası, API uç noktası, tarayıcı eklentisi, WordPress eklentisi, SDK, bot;
• isterseniz, adınızın nasıl anılmasını istediğinizi.

Makine tarafından okunabilir iletişim bilgilerimiz /.well-known/security.txt adresindedir.

2. Bizden neler bekleyebilirsiniz?

• Onay: 5 iş günü içinde.
• İlk değerlendirme (sorunu yeniden oluşturup oluşturamadığımız ve ne kadar ciddi olduğu): 10 iş günü içinde.
• Düzeltme veya durum güncellemesi: 90 gün içinde. Ciddi sorunları olabildiğince hızlı, genellikle çok daha kısa sürede düzeltiriz.
• Koordineli ifşa. Ayrıntıları yayımlamadan önce lütfen sorunun düzeltilmesini ya da 90 günün geçmesini bekleyin. Sizinle bir tarih belirlemekten memnuniyet duyarız.

Küçük bir ekibiz. Sizi bilgilendireceğiz ve geçerli bir bildirimi görmezden gelmeyeceğiz.

3. Güvenli liman

Bu politikaya uymak için iyi niyetle çaba gösterirseniz, araştırmanızı yetkilendirilmiş sayarız. Bu nedenle hakkınızda yasal işlem başlatmayacağız, sizi kolluk kuvvetlerine bildirmeyeceğiz ve hesabınızı yasaklamayacağız. Bu politikaya uygun yapılan bir araştırma nedeniyle üçüncü bir taraf hakkınızda yasal işlem başlatırsa, çalışmanızın yetkilendirilmiş olduğunu duyuracağız.

İyi niyet şu anlama gelir:

• yalnızca kendi hesaplarınız ve kendi yüklemelerinizle ya da kullanma izniniz olan hesaplarla test yaparsınız;
• başkalarının verilerine (yüklemeler, hesap bilgileri, mesajlar) eriştiğinizde hemen durur, bu verileri saklamaz veya paylaşmaz ve nelere eriştiğinizi bize bildirirsiniz;
• hizmetin başkaları için kalitesini düşürmezsiniz (hizmet engelleme saldırısı, yüksek hacimli otomatik tarama, spam yok);
• personelimize, kullanıcılarımıza veya sağlayıcılarımıza karşı sosyal mühendislik, kimlik avı ya da fiziksel saldırı kullanmazsınız;
• sorunu ifşa etmeden önce düzeltmemiz için makul bir süre tanırsınız;
• çocuk cinsel istismarı içeren materyaller dahil hiçbir yasa dışı içeriği, hiçbir gerekçeyle yüklemezsiniz.

Bir şeyin izinli olup olmadığından emin değilseniz önce [email protected] adresinden bize sorun.

4. Kapsam içi

• yourimageshare.com ve alt alan adları (örneğin i.yourimageshare.com ve status.yourimageshare.com);
• herkese açık yükleme API'si, dokümantasyonu, resmi SDK'larımız ve MCP sunucusu;
• tarayıcı eklentilerimiz, WordPress eklentimiz ve Telegram botumuz.

Duymak istediğimiz konulara örnekler: hesap ele geçirme, kimlik doğrulama veya yetkilendirme atlatma, başkalarının özel ya da parola korumalı yüklemelerine erişim, diğer kullanıcıları etkileyen siteler arası betik çalıştırma (XSS), veri değiştiren işlemlerde siteler arası istek sahteciliği, sunucu taraflı istek sahteciliği, enjeksiyon, uzaktan kod çalıştırma ve yüklenen dosyaların işlenme biçimindeki sorunlar.

5. Kapsam dışı

Kullanıcılar üzerinde gerçek bir etki gösteremediğiniz sürece şunlar güvenlik açığı sayılmaz:

• çalışan bir saldırı olmadan eksik ya da "en iyi uygulama" niteliğindeki HTTP başlıkları, çerez işaretleri veya TLS ayarları;
• SPF, DKIM veya DMARC yapılandırma raporları;
• hassas işlem içermeyen sayfalarda clickjacking;
• self-XSS veya kurbanın cihazına ya da tarayıcısına tam erişim gerektiren saldırılar;
• herkese açık sayfalardaki istek sınırları ve herkese açık profiller üzerinden kullanıcı adı veya e-posta tespiti;
• doğrulanmış, yeniden üretilebilir bir sorun içermeyen otomatik tarayıcı raporları;
• hizmet engelleme saldırıları.

6. Yasa dışı veya kötüye kullanım içeren içerik güvenlik bildirimi değildir

Yasa dışı, kötüye kullanım içeren veya Şartlar ve Koşullarımızı ihlal eden bir yüklemeyi bildirmek için öğedeki Bildir düğmesini veya bildirim formumuzu kullanın. Bu bildirimleri güvenlik adresi değil, moderasyon ekibimiz ele alır.

7. Ödüller ve teşekkür

Ücretli bir hata ödül programı yürütmüyoruz. İzninizle, aşağıdaki teşekkür bölümünde ve düzeltmenin sürüm notlarında adınızla (veya takma adınızla) size teşekkür ederiz.

8. Teşekkürler

Güvenlik sorunlarını sorumlu bir şekilde bildiren şu kişilere teşekkür ederiz:

• Henüz teşekkür edilen bir bildirim yok.