الأمن والإفصاح المسؤول عن الثغرات

الإبلاغ عن ثغرة#

أرسل بلاغك إلى kaperx.ma@gmail.com. وتوجد جهة الاتصال نفسها في الملف المقروء آلياً /.well-known/security.txt، المنشور في جذر الموقع وفق الصيغة المعيارية المخصصة لهذا الغرض.

يمكنك الكتابة بالعربية أو بالفرنسية أو بالإنجليزية. ونرجو ألا تستعمل استمارة التواصل ولا واتساب للإبلاغ عن مسألة أمنية، فهما غير مُعدَّين لتبادل معلومات حساسة.

ما ينبغي أن يتضمنه البلاغ#

يساعدنا البلاغ الدقيق على إعادة إنتاج المشكلة وإصلاحها بسرعة أكبر:

• العنوان الدقيق للصفحة أو المورد المعني؛
• طبيعة الثغرة وأثرها المحتمل؛
• خطوات إعادة إنتاجها، مع الطلبات أو لقطات الشاشة المفيدة؛
• تاريخ اكتشافها، والمتصفح أو الأداة المستعملة؛
• الوسيلة التي تفضّل أن نتواصل معك بها، وهل ترغب في أن نشكرك بالاسم بعد الإصلاح.

لا تُدرج في بلاغك معطيات شخصية تخص الغير قد تكون اطلعت عليها. وإن حدث ذلك، فأخبرنا به فقط دون نسخها.

التزاماتنا#

حين تبلغنا عن ثغرة بحسن نية:

1. نؤكد الاستلام خلال يومي عمل.
2. نقيّم البلاغ ونخبرك هل تأكدت الثغرة، وما الخطوات الموالية.
3. نبقيك على اطلاع على تقدّم المعالجة إلى حين الإصلاح.
4. لا نتخذ أي إجراء قضائي ضد بحث أُجري بحسن نية في احترام لقواعد هذه الصفحة. وهذا الالتزام يُلزمنا وحدنا، ولا يمكن أن يُلزم أطرافاً أخرى، كمستضيف الموقع أو السلطات.
5. نذكر اسمك، إن رغبت في ذلك، بعد إصلاح الثغرة.

القواعد الواجب احترامها#

حتى يظل بحثك قائماً على حسن النية:

• لا ولوج إلى معطيات الغير. لا تطّلع على معطيات لا تخصك، ولا تعدّلها ولا تحذفها. وتوقّف بمجرد أن تثبت وجود المشكلة.
• لا مساس بتوفر الموقع. لا اختبارات لحجب الخدمة، ولا ضغط مفرط على الموقع، ولا إرسال مكثف عبر الاستمارة.
• لا هندسة اجتماعية. لا تستهدف فريقنا ولا مزوّدينا ولا زوارنا، لا بالبريد الإلكتروني ولا بالهاتف ولا حضورياً.
• لا اقتحام مادي، ولا هجمات على البنى التحتية لمزوّدينا.
• لا إفصاح علني سابق لأوانه. لا تنشر شيئاً قبل إصلاح الثغرة، أو، إن لم يتم ذلك، قبل انقضاء 90 يوماً على بلاغك، ما لم نتفق على خلاف ذلك.

لا برنامج مكافآت#

لا تتوفر KaperX على برنامج لمكافأة اكتشاف الثغرات، ولا تدفع مقابلاً عن البلاغات. ويسعدنا أن نشكر الباحثين الذين يرغبون في ذكر أسمائهم بعد الإصلاح.

كيف يحمي الموقع زواره#

تصف التدابير التالية إعدادات الموقع؛ وهي ليست شهادة مطابقة ولا نتيجة تدقيق.

• اتصال مشفّر. لا يُقدَّم الموقع إلا عبر HTTPS. ويطلب ترويس HSTS من متصفحك استعمال اتصال مشفّر في كل مرة.
• سياسة صارمة لأمن المحتوى. تحدّ سياسة أمن المحتوى (Content Security Policy) من الموارد التي يقبل المتصفح تحميلها وتشغيلها، مما يقلّل خطر حقن الشيفرات.
• لا ملفات تعريف ارتباط إشهارية. لا يضع الموقع أي ملف تعريف ارتباط إشهاري ولا أي أداة تتبّع خاصة بشبكات التواصل. والتفاصيل في سياسة ملفات تعريف الارتباط.
• قياس الزيارات دون ملفات تعريف الارتباط. نستعمل Plausible Analytics، وهي أداة لقياس الزيارات لا تستعمل ملفات تعريف الارتباط. وتمر طلباتها عبر نطاقنا الخاص، فلا يتصل متصفحك مباشرة بخدمة خارجية لأجل هذا القياس.
• استمارة تواصل مقتصدة. لا تطلب إلا المعلومات اللازمة للرد عليك، وهي محمية من سوء الاستعمال بتحديد عدد مرات الإرسال.
• التحديثات وإعادة البناء. يُولَّد الموقع انطلاقاً من مستودع شيفرة خاضع لإدارة النسخ، ما يتيح إعادة بنائه بشكل مطابق؛ وتُحدَّث تبعياته مع الإصدارات الجديدة.

إذا اعتقدت أن معطياتك معنية#

إذا كان بلاغك يتعلق بمعطيات شخصية، أو اعتقدت أن معطياتك قد تعرّضت للكشف، فراسلنا أيضاً على kaperx.ma@gmail.com. وتُبيّن سياسة الخصوصية كيفية معالجتنا لمعطياتك.