מדיניות גילוי פגיעויות

ההתחייבות שלנו

אנו מתייחסים ברצינות לאבטחת המשתמשים שלנו והנתונים שלהם. אנו מקבלים בברכה דיווחים מחוקרי אבטחה ונעבוד איתך כדי להבין ולפתור כל בעיה במהירות. לא ננקוט צעדים משפטיים נגדך בגין מחקר אבטחה שבוצע בתום לב במסגרת מדיניות זו.

היקף

בהיקף

• ahaslides.com ותת-הדומיינים שלו (לדוגמה presenter.dev.ahaslide.com ו audience.ahaslides.com)
• אפליקציית האינטרנט AhaSlides, אפליקציות למציגים ולקהל

מחוץ לכוונת

• בדיקות מניעת שירות (DoS/DDoS) ובדיקות נפחיות או הצפות תנועה
• הנדסה חברתית של צוות, משתמשים או קבלנים; התקפות פיזיות
• ספאם, או ממצאים מסורקים אוטומטיים ללא השפעה מוכחת וניתנת לניצול
• דוחות המשפיעים רק על דפדפנים שאינם נתמכים או דפדפנים שהגיעו לסוף חייהם
• שירותי צד שלישי שאין לנו שליטה עליהם (יש להעלות אותם לצד השלישי)
• גישה פתוחה (לא מאומתת) לקהל: אפליקציית הקהל מאפשרת במכוון לכל אחד להצטרף למצגת ולהגיש תשובות ללא חשבון או התחברות, כך שהקהל יוכל להשתתף בחופשיות. דיווחים על כך שהצטרפות הקהל או זרימת ההגשה שלו חסרה אימות אינם מטופלים כפגיעויות.
• הצעות לשיטות עבודה מומלצות ללא השפעה על האבטחה (לדוגמה, כותרות חסרות ללא פרצות, בדיקות SPF/DMARC, בדיקת XSS עצמית, חוות דעת על הגבלת קצב). אלה יתקבלו בברכה, אך לא יטופלו כפגיעויות.

הוראות פתיחה באש

אנא do:

• דווחו מיד כשאתם מוצאים בעיה, ותנו לנו זמן סביר לתקן אותה לפני שתחשפו אותה לציבור.
• השתמשו רק בחשבונות הבדיקה שלכם. עצרו בהוכחת היתכנות.

אנא לא:

• גישה, שינוי, הורדה או מחיקה של נתונים שאינם שלך. כדי להוכיח גישה, מספיק צילום מסך או תיעוד מינימלי ומנוקה, לכן אל תגנוב נתוני משתמש אמיתיים.
• לפגוע או להפריע לשירותים שלנו, או להפעיל התקפות אוטומטיות בנפח גבוה.
• לחשוף את הבעיה בפומבי לפני שנאשר שהיא נפתרה (ראה גילוי מתואם).

איך לדווח

כתובת אימייל security@ahaslides.com עם:

1. תיאור ברור של הפגיעות והשפעתה.
2. שכפול שלב אחר שלב, כולל כתובת האתר או נקודת הקצה המושפעת.
3. הוכחת היתכנות (צילומי מסך, סרטון קצר או בקשה מינימלית), מוסגרת.
4. שמך או שם משתמש לצורך קרדיט (אופציונלי).

למה אתם יכולים לצפות מאיתנו

• הכרה בתוך 2 ימי עסקים.
• A החלטת מיון (תקף, דרוש מידע נוסף, או מחוץ לתחום) בתוך 5 ימי עסקים.
• עדכונים שוטפים בזמן שאנחנו עובדים על תיקון, והודעה כשהוא נפתר.
• קרדיט ציבורי בתודות הביטחון שלנו, אם תרצו בכך.

גילוי מתואם

אנו מבקשים שתשמרו על פרטיות הפרטים עד שנאושר כי תיקון נפרס, ולתאם איתנו כל דיווח ציבורי. חלון התיקון היעד שלנו הוא 90 ימיםאם נצטרך יותר זמן נסביר לך למה.

הכרה

AhaSlides היא חברה צומחת ואינה מפעילה תוכנית פרסים קבועה ומתפרסמת. במקרים בהם דוח תקף, מקורי ונחשף באחריות, אנו עשויים, לפי שיקול דעתנו, להציע אות הוקרה ו/או קרדיט ציבורי כהוקרה.

דוחות כפולים. כאשר מספר אנשים מדווחים על אותה בעיה, הדוח הראשון שניתן לשחזר שאנו מקבלים הוא זה שזכאי לתגמול כלשהו. כתבים מאוחרים יותר של אותו נושא עדיין עשויים לקבל קרדיט ציבורי אם יוסיפו מידע חדש באופן מהותי (לדוגמה, השפעה חמורה יותר, שכפול טוב יותר או משטח מושפע נוסף).

בעיות שכבר ידועות. אם כבר מודעים לבעיה ותיעדנו אותה באופן פנימי לפני הגעת הדוח שלך, עדיין נודה לך על כך, אך היא לא תהיה זכאית לתגמול. כמו במקרה של כפילויות, אנו עשויים להציע קרדיט לציבור כאשר הדוח שלך מוסיף מידע חדש באופן מהותי.

אנו תמיד אסירי תודה על עזרתך בשמירה על בטיחות AhaSlides.