وجدتم ثغرة؟ أخبرونا أولاً.

النطاق

• الموقع yaatasaheel.com وجميع صفحاته.
• النسخ التجريبية تحت المسار /demo/.

خارج النطاق: الخدمات المملوكة لأطراف أخرى (مثل مزود الاستضافة أو Formspree أو منصات التواصل)، وأنظمة عملائنا.

كيف تبلغون

راسلونا على info@yaatasaheel.com بعنوان يبدأ بـ «إفصاح أمني»، وضمّنوا:

• وصف الثغرة وأثرها المحتمل.
• الرابط أو المكوّن المتأثر.
• خطوات إعادة الإنتاج، ولقطات أو إثبات مفهوم بسيط.
• وسيلة للتواصل معكم.

تجدون بيانات التواصل أيضاً في /.well-known/security.txt.

ما نلتزم به

• تأكيد الاستلام خلال 3 أيام عمل.
• تقييم أولي وإطلاعكم على الخطوات خلال 10 أيام عمل.
• إبلاغكم عند إغلاق الثغرة.
• عدم اتخاذ أي إجراء نظامي ضد من يبحث بحسن نية ضمن هذه القواعد.
• شكركم علناً إن رغبتم بذلك.

قواعد البحث

• لا تعطيل للخدمة ولا اختبارات حِمل أو إغراق.
• لا هندسة اجتماعية ولا تصيّد ولا اختبار مادي.
• لا وصول لبيانات الآخرين أو تعديلها أو حذفها، وتوقفوا عند أقل إثبات ممكن.
• لا فحص آلي مكثف يؤثر على أداء الموقع.
• امنحونا مهلة معقولة (90 يوماً) قبل أي نشر علني.

ما لا نعدّه ثغرة

• غياب أفضل الممارسات دون أثر قابل للاستغلال.
• النقر المخادع (Clickjacking) على صفحات بلا إجراءات حساسة.
• إعدادات SPF وDMARC وحدها.
• رسائل النماذج المزعجة (Spam) دون أثر أمني.
• ثغرات تتطلب جهازاً مخترقاً أو متصفحاً قديماً غير مدعوم.

المكافآت

لا نقدّم حالياً برنامج مكافآت مالية، لكننا نقدّر كل بلاغ جاد ونشكر أصحابه.