سياسة الإفصاح عن الثغرات الأمنية

إذا التزمت بهذه السياسة بحسن نية، فإننا نعتبر بحثك مصرّحًا به، ولن نتخذ أو ندعم أي إجراء قانوني ضدك بسببه، وسنتعاون معك لفهم المشكلة وحلها بسرعة. إذا بدأ طرف ثالث إجراءً قانونيًا بسبب نشاط متوافق مع هذه السياسة، سنوضح أن نشاطك كان مصرّحًا به.

ضمن النطاق:

• chrenix.com و www.chrenix.com وكل الصفحات والدوال الخادمية ونقاط /api التابعة لها.
• منطق الحساب والمحفظة والطلبات: تجاوز الصلاحيات، الوصول إلى بيانات مستخدم آخر، التلاعب بالرصيد أو الأسعار أو الحدود، تكرار العمليات المالية، تجاوز التحقق بخطوتين أو القفل.
• ثغرات الحقن (SQL/NoSQL/Command)، XSS، CSRF، SSRF، IDOR، كشف أسرار أو مفاتيح، وضعف إعدادات الأمان في قاعدة البيانات.

خارج النطاق:

• هجمات حجب الخدمة (DoS/DDoS) أو أي اختبار يؤثر على توفر الخدمة أو أداءها.
• الهندسة الاجتماعية أو التصيّد ضد الفريق أو المستخدمين، والوصول المادي.
• خدمات الطرف الثالث (مزوّدو الدفع، مزوّدو الدخول، المصادر) — أبلغ مالكها مباشرة.
• تقارير الفحص الآلي دون إثبات استغلال، ونقص ترويسات لا أثر عمليًا له، وسياسات كلمات المرور أو انتهاء الجلسات ضمن الحدود المعقولة، ومشكلات تتطلب جهازًا مخترقًا مسبقًا.

• توقف عند أول دليل على وجود الثغرة؛ لا تتوسّع، ولا تصل إلى بيانات أكثر مما يلزم للإثبات، ولا تعدّل أو تحذف بيانات لا تخصك.
• استخدم حساباتك التجريبية فقط، ولا تختبر على حسابات أو أرصدة مستخدمين حقيقيين.
• إذا وصلت بالخطأ إلى بيانات شخصية أو مالية، توقف فورًا وأبلغنا ولا تحتفظ بنسخة منها.
• لا تنشر أي تفاصيل قبل إصلاح الثغرة وموافقتنا الكتابية على الإفصاح المنسّق.
• لا تستخدم أدوات فحص آلية عالية الكثافة على بيئة الإنتاج.

1. أرسل بريدًا إلى العنوان الرسمي أسفل الصفحة بموضوع يبدأ بـ [SECURITY].
2. اذكر: وصف الثغرة، الأثر المتوقع، خطوات إعادة الإنتاج بالتفصيل، لقطات أو طلبات HTTP، ومعرّف حسابك التجريبي.
3. أخبرنا إن كنت ترغب في ذكر اسمك في صفحة الشكر أو البقاء مجهولًا.

تتوفر بيانات التواصل الأمني أيضًا بصيغة قياسية على المسار /.well-known/security.txt.

• تُقدَّر الخطورة وفق أثرها الفعلي على المستخدمين والأموال (قياسًا على CVSS): حرجة، عالية، متوسطة، منخفضة.
• تُمنح المكافأة لأول تقرير صالح وقابل لإعادة الإنتاج لكل ثغرة؛ التقارير المكررة أو المعروفة داخليًا لا تستحق مكافأة.
• قد تكون المكافأة مالية أو رصيدًا داخل المنصة أو تقديرًا علنيًا، حسب تقدير الإدارة وحالة البرنامج.
• ربط الإفصاح بدفع مسبق، أو التهديد بالنشر أو بالاستغلال، أو المساومة على البيانات، يُلغي الملاذ الآمن ويُعامل كهجوم يُتخذ بشأنه كل إجراء قانوني متاح.

لا تمنحك هذه السياسة إذنًا بمخالفة أي قانون أو الإضرار بأطراف ثالثة. تبقى مسؤولًا عن الالتزام بالقوانين النافذة في بلدك، ونحتفظ بحق تعديل هذه السياسة أو إيقاف البرنامج في أي وقت مع نشر التحديث هنا.