§ Güvenlik
Güvenlik ve koordineli açıklama
Bir açığı nereye göndereceğiniz, ne yapacağımız ve ne zaman — ve bunun yerine içerik uyarı yolundan gidenler.
Güvenlik açığı bildirmek
security@scellis.com adresine gönderin. Lütfen ne yaptığınızı, ne olduğunu ve ne beklediğinizi yazın — kısa bir yeniden üretim adımı, uzun bir açıklamadan daha değerlidir. Bir kanıt kodunuz varsa ekleyin; belirli bir hesap durumu gerekiyorsa, başka birinin hesabında oluşturmak yerine bunu yazın.
Bakmak için izin almanız gerekmez. Kendi hesabınıza ve kendi içeriğinize karşı test yapmak memnuniyetle karşılanır ve aşağıdaki sınırlar içinde kalan araştırmacıları takibe almayız. Anonim bildirebilirsiniz; yanıt verebileceğimiz bir kanal bırakırsanız yine yanıtlarız.
Bu sayfanın makine tarafından okunabilir karşılığı /.well-known/security.txt adresindedir (RFC 9116). Bir son kullanma tarihi taşır; böylece eskimiş bir kopya, bildiriminizi sessizce yanlış yere yönlendirmek yerine kendini belli eder.
Bu kanala ne girer — ve ne girmez
Bu kanal PLATFORM açıkları içindir: API worker'ı, röle, tarayıcı korumalı alanı, kimlik doğrulama ve yetkilendirme yüzeyi, faturalama webhook'u, nesne deposu ve bunlardan herhangi birine reddetmesi gereken bir şeyi yaptırmanın her yolu.
Bozulmuş İÇERİK için kanal DEĞİLDİR. Kötü amaçlı bir blok, baytları değişmiş bir paket, gömülü yük taşıyan bir veri kümesi, iddia ettiği şey olmayan bir liste — bunlar ürün içindeki bildirim yolundan (herkese açık her varlık, sürüm, liste, not ve profil, göründüğü yüzeyden bildirilebilir) ve triyajdan sonra kataloğa ve kuran herkese ulaşan uyarı yolundan gider. İçerik sorunlarını buraya göndermek, onları en hızlı hareket edemeyecek kişilere yönlendirir.
Kapsam dışı olanlar: gösterilmiş bir etkisi olmayan eksik güvenlik başlıkları, hacimsel hizmet engelleme, yalnızca otomatik bir tarayıcı tarafından üretilmiş bildirimler ve Scellis çevresindeki kişilere yönelik sosyal mühendislik.
Korumanızı istediğimiz sınırlar
Kendi hesaplarınızı ve kendi verilerinizi kullanın. Başka birinin içeriğine erişmeyin, onu değiştirmeyin veya dışarı çıkarmayın; bir açık size başkasının verisine erişim veriyorsa durun, yalnızca göstermek için gerekli olanı kaydedin ve bize söyleyin.
Hizmeti başkaları için bozmayın: hacimsel yük testi, toplu hesap oluşturma veya durum değiştiren otomatik tarama yapmayın. Bir açığı erişimi sürdürmek için kullanmayın ve arkanızda hiçbir şey bırakmayın.
Düzeltme şansımız olmadan yayımlamayın (aşağıdaki takvime bakın). Bir düzeltmenin makul olmayan biçimde geciktiğini düşünüyorsanız bunu bize söyleyin — bu bir konuşmadır, size tek taraflı uyguladığımız bir kural değil.
Ne yapacağız ve ne zaman
Her bildirimi 3 iş günü içinde teyit ederiz ve 10 iş günü içinde yeniden üretip üretemediğimizi ve önem derecesini nasıl değerlendirdiğimizi bildiririz.
Kritik bir açığı yeniden üretimden sonra 30 gün içinde, yüksek önemdeki bir açığı 90 gün içinde gidermeyi hedefleriz. Daha düşük dereceler planlanır ve nereye planlandığını söyleriz. Bir düzeltme kayarsa, sessizleşmek yerine nedenini söyleriz — bildiğiniz kaymış bir tarihle çalışılabilir, sessizlikle çalışılamaz.
Düzeltme yayımlandıktan sonra açıklarız ve sizi seçtiğiniz adla anarız (hiç anılmamak dahil). Metni yayımlamadan önce sizinle birlikte kararlaştırırız. Scellis henüz açılmadı ve bir ödül programı yürütmüyor, dolayısıyla ödeme yoktur; bunu emekten sonra keşfetmenize bırakmak yerine açıkça söylüyoruz.
Kişisel veriler etkilendiyse
Kişisel veriyi açığa çıkaran bir güvenlik açığı aynı zamanda bir kişisel veri ihlalidir ve düzeltmeyle paralel olarak GDPR 33/34. madde yolunu başlatır: farkına vardığımızdan itibaren 72 saat içinde yetkili denetim otoritesine bildirim ve etkilenen kişiler için risk yüksekse onlara doğrudan iletişim.
Bu süreç, bildirimin bu kanaldan gelip gelmediğine bakılmaksızın işler ve bildirimi yapanın bu politikanın herhangi bir bölümüne uymasına bağlı değildir.