سیکیورٹی پالیسی

ہم YourImageShare کی سیکیورٹی اور اسے استعمال کرنے والوں کی حفاظت کو سنجیدگی سے لیتے ہیں۔ اگر آپ کو کوئی سیکیورٹی خامی ملی ہے تو ہمیں بتانے کا شکریہ۔ اس صفحے میں بتایا گیا ہے کہ اطلاع کیسے دیں، آپ ہم سے کیا توقع رکھ سکتے ہیں، اور محفوظ طریقے سے ٹیسٹنگ کے اصول کیا ہیں۔

1. خامی کی اطلاع کیسے دیں

ای میل کریں [email protected] پر، یا رابطہ فارم استعمال کریں اور سبجیکٹ کا آغاز "Security" سے کریں۔ براہِ کرم خامی ٹھیک ہونے سے پہلے اس کی اطلاع عوامی جگہوں (GitHub issues، تبصرے، سوشل میڈیا) پر نہ دیں۔

براہِ کرم یہ شامل کریں:

• مسئلے کی تفصیل اور یہ کہ حملہ آور اس سے کیا کر سکتا ہے؛
• اسے دوبارہ پیدا کرنے کے لیے درکار درست مراحل، URLs اور requests (proof of concept خوش آئند ہے)؛
• متاثرہ حصہ: ویب سائٹ کا صفحہ، API endpoint، براؤزر ایکسٹینشن، WordPress پلگ اِن، SDK، بوٹ؛
• اگر آپ چاہیں تو آپ کو کریڈٹ کیسے دیا جائے۔

ہمارے مشینی طور پر پڑھے جانے والے رابطے کی تفصیلات /.well-known/security.txt میں ہیں۔

2. آپ ہم سے کیا توقع رکھ سکتے ہیں

• تصدیقِ وصولی 5 کاروباری دنوں کے اندر۔
• ابتدائی جائزہ (کیا ہم اسے دوبارہ پیدا کر سکتے ہیں اور یہ کتنی سنگین ہے) 10 کاروباری دنوں کے اندر۔
• اصلاح یا اسٹیٹس اپ ڈیٹ 90 دنوں کے اندر۔ سنگین مسائل جتنی جلدی ممکن ہو ٹھیک کیے جاتے ہیں، عموماً بہت پہلے۔
• مربوط انکشاف۔ براہِ کرم تفصیلات شائع کرنے سے پہلے مسئلہ ٹھیک ہونے تک، یا 90 دن گزرنے تک انتظار کریں۔ ہم آپ کے ساتھ تاریخ طے کرنے کے لیے تیار ہیں۔

ہم ایک چھوٹی ٹیم ہیں۔ ہم آپ کو آگاہ رکھیں گے اور کسی درست رپورٹ کو نظرانداز نہیں کریں گے۔

3. محفوظ پناہ (Safe harbour)

اگر آپ نیک نیتی سے اس پالیسی پر عمل کرنے کی کوشش کرتے ہیں تو ہم آپ کی تحقیق کو مجاز سمجھتے ہیں۔ ہم اس پر آپ کے خلاف قانونی کارروائی نہیں کریں گے اور نہ ہی آپ کو قانون نافذ کرنے والے اداروں کو رپورٹ کریں گے، اور اس کی وجہ سے آپ کا اکاؤنٹ بھی بند نہیں کریں گے۔ اگر کوئی تیسرا فریق اس پالیسی پر عمل کرنے والی تحقیق پر آپ کے خلاف قانونی کارروائی کرتا ہے تو ہم یہ واضح کریں گے کہ آپ کا کام مجاز تھا۔

نیک نیتی کا مطلب ہے کہ آپ:

• صرف اپنے اکاؤنٹس اور اپنی اپ لوڈز کے ساتھ، یا ایسے اکاؤنٹس کے ساتھ ٹیسٹ کریں جنہیں استعمال کرنے کی آپ کو اجازت ہے؛
• دوسرے لوگوں کے ڈیٹا (اپ لوڈز، اکاؤنٹ کی تفصیلات، پیغامات) تک پہنچتے ہی رک جائیں، اسے نہ رکھیں اور نہ شیئر کریں، اور ہمیں بتائیں کہ آپ نے کیا دیکھا؛
• دوسروں کے لیے سروس خراب نہ کریں (کوئی denial-of-service نہیں، بڑی مقدار میں خودکار اسکیننگ نہیں، اسپیم نہیں)؛
• ہمارے عملے، صارفین یا فراہم کنندگان کے خلاف سوشل انجینئرنگ، فشنگ یا جسمانی حملے استعمال نہ کریں؛
• انکشاف سے پہلے مسئلہ ٹھیک کرنے کے لیے ہمیں مناسب وقت دیں؛
• کسی بھی وجہ سے غیر قانونی مواد، بشمول بچوں کے جنسی استحصال کا مواد، کبھی اپ لوڈ نہ کریں۔

اگر آپ کو یقین نہ ہو کہ کوئی چیز جائز ہے یا نہیں تو پہلے ہم سے [email protected] پر پوچھ لیں۔

4. دائرہ کار میں شامل

• yourimageshare.com اور اس کے سب ڈومینز (مثلاً i.yourimageshare.com اور status.yourimageshare.com)؛
• عوامی اپ لوڈ API، اس کی دستاویزات اور ہمارے سرکاری SDKs اور MCP سرور؛
• ہماری براؤزر ایکسٹینشنز، WordPress پلگ اِن اور Telegram بوٹ۔

ہم جن چیزوں کے بارے میں سننا چاہتے ہیں ان کی مثالیں: اکاؤنٹ ٹیک اوور، تصدیق یا اجازت کو بائی پاس کرنا، دوسروں کی نجی یا پاس ورڈ سے محفوظ اپ لوڈز تک رسائی، ایسی cross-site scripting جو دوسرے صارفین کو متاثر کرے، ڈیٹا تبدیل کرنے والے اقدامات پر cross-site request forgery، server-side request forgery، injection، remote code execution، اور اپ لوڈ کی گئی فائلوں کی پروسیسنگ کے مسائل۔

5. دائرہ کار سے باہر

ان کو خامی نہیں سمجھا جاتا جب تک آپ صارفین پر حقیقی اثر نہ دکھا سکیں:

• غائب یا "best practice" والے HTTP headers، cookie flags یا TLS سیٹنگز، جن کے ساتھ کوئی کارآمد حملہ نہ ہو؛
• SPF، DKIM یا DMARC کی کنفیگریشن رپورٹس؛
• ایسے صفحات پر clickjacking جن میں حساس اقدامات نہیں ہیں؛
• self-XSS، یا ایسے حملے جن کے لیے متاثرہ شخص کے ڈیوائس یا براؤزر تک مکمل رسائی درکار ہو؛
• عوامی صفحات پر rate limits، اور عوامی پروفائلز کے ذریعے صارف نام یا ای میل کی enumeration؛
• خودکار اسکینرز کی رپورٹس جن میں تصدیق شدہ، دوبارہ پیدا ہونے والا مسئلہ نہ ہو؛
• denial-of-service حملے۔

6. غیر قانونی یا قابلِ اعتراض مواد سیکیورٹی رپورٹ نہیں ہے

ایسی اپ لوڈ کی رپورٹ کرنے کے لیے جو غیر قانونی ہو، قابلِ اعتراض ہو یا ہماری شرائط و ضوابط کی خلاف ورزی کرے، آئٹم پر موجود Report بٹن یا ہمارا رپورٹ فارم استعمال کریں۔ ان رپورٹس کو ہماری موڈریشن ٹیم دیکھتی ہے، سیکیورٹی ای میل کے ذریعے نہیں۔

7. انعامات اور کریڈٹ

ہم ادائیگی والا bug bounty نہیں چلاتے۔ آپ کی اجازت سے ہم نیچے دی گئی اظہارِ تشکر کی فہرست میں اور اصلاح کے ریلیز نوٹس میں آپ کا نام (یا ہینڈل) لے کر آپ کا شکریہ ادا کریں گے۔

8. اظہارِ تشکر

ہم ذمہ داری سے سیکیورٹی مسائل کی اطلاع دینے پر درج ذیل لوگوں کے شکر گزار ہیں:

• ابھی تک کسی رپورٹ کو کریڈٹ نہیں دیا گیا۔