أبلِغ عن مشكلة أمنية

إذا وجدت نقطة ضعف في برمجيات AiSSAY أو في هذا الموقع، فأخبرنا بها سرًّا أولًا. نفضّل أن نسمعها منك على أن نكتشفها لاحقًا.

طريقة الإبلاغ

راسلنا على hello@aissay.io واكتب «Security report» (تقرير أمني) في سطر الموضوع.

يُرجى تضمين ما يلي:

• ما الذي وجدته، وأين: الوحدة أو الأمر أو الصفحة؛
• خطوات إعادة إنتاج المشكلة، والإصدار الذي اختبرته (ملف VERSION في الإصدار)؛
• ما الذي يمكن للمهاجم أن يفعله بها؛
• الطريقة التي تودّ أن يُنسب إليك الفضل بها، إن كنت تريد ذلك أصلًا.

ما نلتزم به

• نؤكّد استلام بلاغك خلال خمسة أيام عمل.
• نخبرك هل استطعنا إعادة إنتاج المشكلة، ومدى خطورتها في تقديرنا.
• نعطيك إجابة صادقة عمّا إذا كانت ستُصلَح ومتى، بما في ذلك «ليس قريبًا» إن كان ذلك هو الواقع.
• نذكر اسمك في ملاحظات الإصلاح إن أردت أن يُنسب إليك الفضل.
• لا توجد مكافآت على اكتشاف الثغرات. نحن لا ندفع مقابل البلاغات.

الإفصاح

نطلب مهلة 90 يومًا من تاريخ بلاغك قبل أن تنشره، أو أقل إذا صدر الإصلاح قبل ذلك. وإذا احتجنا إلى مدة أطول، فسنوضّح السبب ونطلبها منك. وعند صدور الإصلاح، نذكر في ملاحظات الإصدار ما كان الخلل.

البحث بحسن نية

إذا اتّبعت هذه السياسة، واقتصرت في اختباراتك على تثبيتك الخاص، وتوقّفت بمجرد أن تُثبت وجود مشكلة، فلن نعامل بحثك على أنه هجوم، ولن نطلب من أحد أن يتّخذ أيّ إجراء ضدك بسببه.

ضمن النطاق

• برمجيات AiSSAY: مخزن الأدلة، والخادم الوسيط للتسجيل (proxy)، وخادم MCP، وإضافة المتصفح ومضيفها الأصلي، والإيصالات وأداة التحقق منها.
• هذا الموقع، aissay.io.

خارج النطاق

• الاختبار على مخزن يحتوي على سجلات حقيقية لأيّ شخص آخر. استخدم تثبيتك الخاص وبيانات مختلَقة.
• اختبارات حجب الخدمة، والهندسة الاجتماعية، والهجمات المادية.
• الأنظمة التي لا نشغّلها نحن: مزوّد الذكاء الاصطناعي لديك، ومدير المفاتيح لديك، والاستضافة الخاصة بك.

ما نقوله سلفًا عن حدودنا

ننشر ما لا تفعله برمجياتنا بعد: صفحات أطر الامتثال تسمّي كل فجوة، وملخص الامتثال والحوكمة يسرد ما بُني، وما هو نقطة وصل، وما هو مفقود. لم تختبر أيّ جهة خارجية هذه البرمجيات بعد. وبلاغك سيكون أول نظرة مستقلة إليها.