Güvenlik Açığı İfşa Politikası

Bizim sözümüz

Kullanıcılarımızın ve verilerinin güvenliğini ciddiye alıyoruz. Güvenlik araştırmacılarından gelen raporları memnuniyetle karşılıyor ve herhangi bir sorunu hızlı bir şekilde anlamak ve çözmek için sizinle birlikte çalışacağız. Bu politika kapsamında iyi niyetle yürütülen güvenlik araştırmaları nedeniyle size karşı yasal işlem başlatmayacağız.

kapsam

Kapsam dahilinde

• ahaslides.com ve alt alan adları (örneğin presenter.dev.ahaslide.com hem de seyirci.ahaslides.com)
• AhaSlides web uygulaması, sunum yapan ve izleyici uygulamaları

Kapsam dışında

• Hizmet reddi (DoS/DDoS) ve hacimsel veya trafik taşkını testleri
• Çalışanların, kullanıcıların veya yüklenicilerin sosyal mühendislik yoluyla hedef alınması; fiziksel saldırılar
• Spam veya otomatik tarayıcılardan elde edilen ve kanıtlanmış, istismar edilebilir bir etkisi olmayan bulgular.
• Yalnızca desteklenmeyen veya kullanım ömrü sona ermiş tarayıcıları etkileyen raporlar.
• Kontrolümüz dışında olan üçüncü taraf hizmetleri (bu konuları ilgili üçüncü tarafla görüşün)
• Açık (kimlik doğrulaması gerektirmeyen) izleyici erişimi: İzleyici uygulaması, izleyicilerin özgürce katılabilmesi için herkesin hesap veya oturum açma işlemine gerek kalmadan sunuma katılmasına ve yanıt göndermesine bilerek izin verir. İzleyici katılımı veya yanıt gönderme akışında kimlik doğrulamasının eksik olduğuna dair raporlar güvenlik açığı olarak değerlendirilmez.
• Güvenlik açısından herhangi bir olumsuz etkisi olmayan en iyi uygulama önerileri (örneğin, istismara yol açmayan eksik başlıklar, SPF/DMARC ile ilgili ufak tefek eleştiriler, kendi kendine XSS saldırıları, hız sınırlaması hakkındaki görüşler). Bunlar memnuniyetle karşılanır, ancak güvenlik açığı olarak değerlendirilmez.

Angajman kuralları

Lütfen do:

• Bir sorun tespit ettiğiniz anda bize bildirin ve kamuoyuna açıklamadan önce sorunu çözmemiz için makul bir süre tanıyın.
• Yalnızca kendi test hesaplarınızı kullanın. Kavram kanıtı aşamasında durun.

Lütfen yapma:

• Size ait olmayan verilere erişmeyin, bunları değiştirmeyin, indirmeyin veya silmeyin. Erişimi kanıtlamak için bir ekran görüntüsü veya minimum düzeyde düzenlenmiş bir kayıt yeterlidir, bu nedenle gerçek kullanıcı verilerini sızdırmayın.
• Hizmetlerimizi aksatmak veya kesintiye uğratmak ya da otomatik yüksek hacimli saldırılar gerçekleştirmek.
• Sorunun çözüldüğünü teyit etmeden önce konuyu kamuoyuna açıklayın (bkz. Koordineli açıklama).

Nasıl bildirilir

E-posta security@ahaslides.com ile:

1. Söz konusu güvenlik açığının ve etkisinin net bir açıklaması.
2. Etkilenen URL veya uç nokta da dahil olmak üzere adım adım yeniden oluşturma.
3. Kavram kanıtı (ekran görüntüleri, kısa bir video veya minimum bir istek), gizlenmiştir.
4. (İsteğe bağlı) Kredi için adınız veya kullanıcı adınız.

Bizden neler bekleyebilirsiniz?

• Teşekkür içinde 2 iş günü.
• A triyaj kararı (geçerli, daha fazla bilgiye ihtiyaç duyulan veya kapsam dışı) 5 iş günü.
• Sorunu çözmek için çalışırken düzenli olarak güncellemeler paylaşacağız ve sorun çözüldüğünde size bildireceğiz.
• Dilerseniz, güvenlik teşekkürlerimizde adınızın herkese açık olarak belirtilmesini sağlayabiliriz.

Koordineli açıklama

Sorunun düzeltildiğini onaylayana kadar ayrıntıları gizli tutmanızı ve kamuoyuna açık herhangi bir duyuruyu bizimle koordine etmenizi rica ediyoruz. Hedeflediğimiz düzeltme süresi şu şekildedir: 90 günEğer daha uzun süreye ihtiyacımız olursa, size nedenini bildireceğiz.

Tanıma

AhaSlides büyüyen bir şirkettir ve sabit, yayınlanmış ücretli ödül programı yürütmemektedir. Bir rapor geçerli, özgün ve sorumlu bir şekilde yayınlanmışsa, kendi takdirimize bağlı olarak, teşekkür olarak bir takdir göstergesi ve/veya kamuoyu nezdinde takdir sunabiliriz.

Yinelenen raporlar. Birden fazla kişinin aynı sorunu bildirdiği durumlarda, aldığımız ilk tekrarlanabilir rapor Ödül almaya hak kazanan kişi odur. Aynı konuyu daha sonra haber yapanlar da, önemli ölçüde yeni bilgiler (örneğin daha şiddetli bir etki, daha iyi bir yeniden üretim veya etkilenen ek bir yüzey) eklemeleri durumunda kamuoyunda takdir görebilirler.

Zaten bilinen sorunlar. Eğer bir sorundan zaten haberdarsak ve raporunuz gelmeden önce bunu dahili olarak kaydetmişsek, yine de size teşekkür ederiz, ancak ödül almaya hak kazanmazsınız. Mükerrer raporlarda olduğu gibi, raporunuz önemli ölçüde yeni bilgiler içeriyorsa, kamuoyuna açık bir şekilde teşekkür sunabiliriz.

AhaSlides'ın güvenliğini sağlamadaki yardımınız için her zaman minnettarız.