الغرض من هذه السياسة
نقدّر عمل الباحثين في مجال الأمن. تجيز لك هذه السياسة البحث عن الثغرات في خدماتنا، شرط أن تتصرّف بحسن نية وتلتزم بالقواعد أدناه، وتوضّح كيفية الإبلاغ عمّا تكتشفه.
تسري هذه السياسة على خدمات شركة PIXEL LORIS IT SERVICES L.L.C. المذكورة في قسم «ما يمكن اختباره». وإذا كان بينك وبيننا اتفاق مستقل للاختبار، فتكون الأولوية لشروط ذلك الاتفاق.
ما يمكن اختباره
يُسمح باختبار المواقع الإلكترونية وتطبيقات الويب وواجهات البرمجة على العناوين التالية:
- plasmaedtech.com و www.plasmaedtech.com: موقع Plasma EdTech؛
- plasmida.ai و www.plasmida.ai: المعلّم الشخصي بالذكاء الاصطناعي Plasmida.ai؛
- plasmalearn.com و www.plasmalearn.com: نظام إدارة التعلّم Plasma [Learn].
لا تختبر النطاقات الفرعية أو الخدمات الأخرى التي يبدو أنها تابعة لنا إلا بعد تأكيدنا الكتابي.
ما يخرج عن نطاق الاختبار
لا تختبر ما يلي:
- الخدمات الخارجية التي نستخدمها، مثل Cloudflare و Telegram و Google Maps و Medium ومواقع الناشرين ومزوّدي البريد الإلكتروني والاستضافة، وأبلغ مالكيها عن أي مشكلات فيها؛
- مكاتب الشركة ومعدّاتها وموظفيها؛
- حسابات المستخدمين الآخرين وبياناتهم.
ما هو مسموح به
بموجب هذه السياسة، يمكنك:
- البحث عن الثغرات يدويًا وباستخدام أدوات الفحص الآلية، على ألا يتجاوز الحِمل 10 طلبات في الثانية لكل خدمة، مع إيقاف الفحص فورًا إذا بدأت الخدمة تُرجع أخطاء أو تتباطأ؛
- إنشاء حسابات اختبار حيثما تسمح الخدمة بذلك، والتعامل مع هذه الحسابات وبياناتك فقط؛
- إثبات الثغرة بأدنى قدر من الأدلة باستخدام حسابات الاختبار وبياناتك الخاصة، ثم التوقّف فورًا.
لنتمكّن من تمييز حركة البيانات الصادرة عنك، أضف إلى طلباتك قدر الإمكان الترويسة X-Security-Research مع عنوان بريدك الإلكتروني أو اسمك المستعار.
ما هو محظور
حتى مع حسن النية، لا يجوز:
- تنفيذ هجمات حجب الخدمة بأنواعها أو اختبارات الحِمل؛
- استخدام الهندسة الاجتماعية، بما في ذلك التصيّد الاحتيالي والاتصالات والرسائل الموجّهة إلى موظفينا أو شركائنا أو مستخدمينا؛
- محاولة الوصول المادي إلى مكاتبنا أو معدّاتنا؛
- الوصول بأي شكل إلى حسابات الآخرين أو بياناتهم، بما في ذلك الاطّلاع عليها أو تعديلها أو حذفها أو تنزيلها أو مشاركتها؛
- ترسيخ الوجود في الأنظمة، مثل زرع الأبواب الخلفية أو أصداف الويب أو إنشاء حسابات مخفية، أو التنقّل داخل بنيتنا التحتية؛
- إرسال رسائل غير مرغوب فيها أو رسائل بريد أو نماذج بأعداد كبيرة؛
- اختبار خدمات غير مدرجة في قسم «ما يمكن اختباره»؛
- نشر تفاصيل الثغرة قبل إصلاحها أو قبل الموعد المتفق عليه.
إذا وصلت عن غير قصد إلى بيانات تخص غيرك، فأوقف الاختبار ولا تحتفظ بها أو تشاركها، وأبلغنا فورًا.
كيفية الإبلاغ عن ثغرة
راسلنا على [email protected] بعنوان «بلاغ عن ثغرة أمنية». يمكنك الكتابة بالعربية أو الإنجليزية أو الروسية. ويُرجى أن يتضمن البلاغ:
- عنوان الصفحة أو المكوّن المتأثر؛
- وصف الثغرة ونوعها؛
- خطوات إعادة إنتاجها، والأدلة مثل الطلبات والاستجابات ولقطات الشاشة أو مقطع فيديو؛
- تقديرك لأثرها؛
- طريقة التواصل معك، وكيف تودّ أن نذكرك في الشكر إن رغبت في ذلك.
لا ترفق بيانات شخصية حقيقية لمستخدمين. وإذا احتجت إلى قناة آمنة لإرسال البلاغ، فأخبرنا وسنوفّرها.
التزاماتنا
عند استلام بلاغك، سنقوم بما يلي:
- تأكيد استلامه خلال 3 أيام عمل؛
- إطلاعك على تقييمنا الأولي خلال 10 أيام عمل؛
- إطلاعك على سير العمل على الإصلاح؛
- ذكر اسمك في الشكر العلني بعد الإصلاح، بموافقتك.
لا يتضمن هذا البرنامج حاليًا مكافآت مالية.
الحماية القانونية للباحثين
إذا التزمت بهذه السياسة بحسن نية، فإننا نعدّ اختبارك مصرّحًا به. ولن نتخذ أي إجراء قانوني ضدك ولن نبلغ عنك جهات إنفاذ القانون بسبب هذا الاختبار، وإذا رفع طرف ثالث مطالبة، فسنؤكّد أنك تصرّفت بإذن منا.
لا يمكن لهذه السياسة أن تجيز ما يحظره القانون، بما في ذلك تشريعات دولة الإمارات العربية المتحدة بشأن الجرائم الإلكترونية وقوانين البلد الذي توجد فيه. وإذا لم تكن متأكدًا من جواز إجراء ما، فاسألنا قبل بدء الاختبار.
الإفصاح العلني
نتّبع مبدأ الإفصاح المنسّق، لذا يُرجى عدم نشر تفاصيل الثغرة قبل إصلاحها. ونسعى إلى إصلاح الثغرات خلال 90 يومًا من تاريخ البلاغ، وإذا احتجنا إلى وقت أطول، فسنتفق معك على موعد النشر.
التعديلات على هذه السياسة
قد نحدّث هذه السياسة، وتُنشر النسخة السارية وتاريخها دائمًا في هذه الصفحة. ويُقيَّم الاختبار الذي بدأ في ظل نسخة سابقة وفقًا لتلك النسخة. كما يرد عنوان التواصل المخصّص للباحثين في ملف security.txt على الموقع وفق المعيار RFC 9116.