الإبلاغ عن الثغرات الأمنيةأبلغونا، وسنردّ عليكم.

إن وجدتم ثغرة في أحد أسطح NOUSEC، فهذه الصفحة تخبركم أين ترسلونها، وما الذي نعدّه ضمن النطاق، وما الذي نلتزم به في المقابل. نحن نبيع إدارة المخاطر البشرية، وأقل ما يمكننا فعله هو الوضوح بشأن مخاطرنا نحن.

أبلغوا عن ثغرةاطّلعوا على النطاق
[email protected] · ردّ أول خلال يومي عمل · تُقرأ البلاغات بالإنجليزية والتركية
النطاق قرار — أربعة أشياء نحتفظ بها، وأربعة لا نلمسها أبدًاما نحتفظ بهما لا نلمسه أبدًاالبريد الإلكتروني للعملالاسم والإدارةنتيجة المحاكاةإكمال التدريبوكيل طرفيتثبيت على جهاز الموظفسجل التصفحضغطات المفاتيحلا يُثبَّت أي شيء على جهاز الموظف.العمود الآخر قرار، لا نقص.
النطاق قرار — أربعة أشياء نحتفظ بها، وأربعة لا نلمسها أبدًاما نحتفظ بهالبريد الإلكتروني للعملالاسم والإدارةنتيجة المحاكاةإكمال التدريبما لا نلمسه أبدًاوكيل طرفيتثبيت على جهاز الموظفسجل التصفحضغطات المفاتيحقرار، لا نقص.

كيف تبلّغون؟

عنوان واحد يقرؤه شخص حقيقي. لا نماذج تُعبّأ ولا حسابات تُنشأ.

الخطوة 1
راسلوا [email protected]
أرفقوا عنوان URL أو نقطة الاتصال المتأثرة، وخطوات إعادة إنتاج المشكلة، وما لاحظتموه. لقطات الشاشة أو تسجيل قصير يساعدان كثيرًا. تُقرأ البلاغات المكتوبة بالإنجليزية والتركية.
الخطوة 2
نؤكد الاستلام خلال يومي عمل
ردّ من شخص حقيقي يخبركم إن كنا قد أعدنا إنتاج المشكلة، لا إيصال استلام آلي. وإن احتاج التحقيق إلى وقت أطول قلنا ذلك بدلًا من الصمت.
الخطوة 3
نصلح، ثم نخبركم
تعرفون ما الذي تغيّر ومتى أُطلق الإصلاح. وإن رغبتم نذكر اسمكم في الإشعار الأمني، وإن فضّلتم عدم ذكره فلا بأس.

بيانات التواصل نفسها منشورة في ملف security.txt لدينا، وفق المعيار RFC 9116.

النطاق

نكتبه بوضوح، لأن السياسة التي تترك النطاق مبهمًا تدفع الباحث إلى التخمين، والتخمين الخاطئ هو ما يحوّل البحث حسن النية إلى حادث.

ضمن النطاق
nousec.com
الموقع التعريفي وكل ما يُقدَّم منه، بما في ذلك نقطة طلب العرض التوضيحي.
ضمن النطاق، بحدود
login.nousec.com
واجهة الدخول إلى المنصة والتطبيق، على أن يجري الاختبار على حساب تملكونه. لا فحص آليًا، ولا اختبارات حمل أو إجهاد، ولا محاولة للوصول إلى بيانات مؤسسة أخرى أو شخص آخر. وضمن هذه الحدود نرحب بالنتائج، وتشملها الحماية المذكورة أدناه.
خارج النطاق
خدمات الأطراف الثالثة التي لا نتحكم بها
النتائج المتعلقة بخدمات تستخدمها NOUSEC ولا تديرها يجب أن تُرسل إلى مزوّد تلك الخدمة. وإن لم تكونوا متأكدين من الجهة المالكة لسطح ما، فاسألونا وسنخبركم.
خارج النطاق
بنية المحاكاة
النطاقات المستخدمة لإرسال محاكاة التصيد إلى موظفي العملاء مصمَّمة عمدًا لتشبه بنية المهاجمين. والإبلاغ عنها بوصفها خبيثة سلوك متوقع، وليس ثغرة.

الحماية للبحث حسن النية

ما تحصلون عليه منا إذا تصرفتم بحسن نية.

إذا التزمتم بالنطاق أعلاه، وتصرفتم بحسن نية، وتجنبتم انتهاك الخصوصية وتعطيل الخدمة، ومنحتمونا فرصة معقولة لإصلاح المشكلة قبل الإفصاح عنها علنًا، فلن تتخذ NOUSEC أي إجراء قانوني ضدكم بسبب بحثكم ولن تدعمه.

وإذا اتخذ طرف ثالث إجراءً ضدكم بسبب بحث بقي ضمن حدود هذه السياسة، فسنعلن أن عملكم كان مصرَّحًا به بموجبها. وإن أردتم هذا الالتزام كتابةً قبل أن تبدؤوا، فاطلبوه وسنرسله إليكم.

ما نطلبه منكم

أربع قواعد، كلها تهدف إلى ألا يتحول الاختبار إلى حادث.

استخدموا حسابكم
لا تصلوا إلى بيانات شخص آخر أو مؤسسة أخرى ولا تعدّلوها ولا تُخرجوها. وإن صادفتم بيانات غيركم، فتوقفوا وأخبرونا.
لا تُضعفوا الخدمة
لا اختبارات حمل، ولا حجب للخدمة، ولا فحص آلي لواجهة الدخول إلى المنصة.
لا تمارسوا الهندسة الاجتماعية على فريقنا
موظفونا ومقاولونا وعملاؤنا خارج النطاق. تصيّد موظفينا ليس بحثًا هنا، بل هو المنتج الذي نبيعه، وسنتعامل معه كهجوم.
امنحونا وقتًا قبل الإفصاح
أخبرونا أولًا ودعونا نُطلق الإصلاح. لن نستغل هذا الوقت للمماطلة، بل للإصلاح.

ما لا ندّعيه

لم تُكمل NOUSEC تدقيق SOC 2 أو ISO/IEC 27001، ولا تحمل شهادة في أي منهما، ولا ينبغي قراءة أي عبارة في هذا الموقع على أنها ادعاء بالحصول على شهادة. ولم نكلّف جهة مستقلة بإجراء اختبار اختراق. وعندما يتغير ذلك ستذكره هذه الصفحة مع التاريخ.

ستقرؤون في مواضع أخرى من الموقع أن NOUSEC تربط الأدلة على مستوى كل مؤسسة بسبعة أطر. هذه العبارة تصف ما يفعله المنتج ببياناتكم: يجمع أدلة التدريب والمحاكاة التي يطلبها مدققكم وينظمها. وهي ليست تصريحًا عن حالة شهاداتنا. فالمزوّد الذي يُنتج لكم أدلة ISO 27001 لا يصبح بذلك حاصلًا على ISO 27001، ولن نسمح للعبارة نفسها بأن تؤدي المهمتين بصمت.

لا نشغّل حاليًا برنامج مكافآت مدفوعًا. ومع ذلك نرحب بالبلاغات، ونقيّمها خلال يومي عمل، ونذكر اسمكم إن رغبتم.

أسئلة

ما يسأله الباحثون قبل أن يرسلوا أول بريد.

كيف أبلّغ عن ثغرة أمنية؟

أرسلوا بريدًا إلى [email protected] بتفاصيل تكفي لإعادة إنتاج المشكلة: عنوان URL أو نقطة الاتصال المتأثرة، والخطوات التي اتبعتموها، وما لاحظتموه. تُقرأ البلاغات المكتوبة بالإنجليزية والتركية. ونرجو ألا تنشروا النتيجة علنًا قبل أن نرد عليكم. وعنوان التواصل نفسه منشور في ملف security.txt لدينا.

متى أتلقى ردًا؟

نؤكد استلام كل بلاغ ونجري تقييمه الأولي خلال يومي عمل. والرد الأول ليس إيصال استلام آليًا، بل ردّ من شخص حقيقي يخبركم إن كنا قد أعدنا إنتاج المشكلة. وإن احتاج البلاغ إلى تحقيق أطول قلنا ذلك وأبقيناكم على اطلاع.

هل login.nousec.com ضمن النطاق؟

نعم، ضمن حدود. يمكنكم الاختبار على حساب تملكونه فقط. أما الفحص الآلي، واختبارات الحمل أو الإجهاد، وأي محاولة للوصول إلى حساب شخص آخر أو الاستيلاء عليه، فهي خارج النطاق. واجهة الدخول أكثر أجزاء شركة الأمن حساسية، ونفضّل أن نحدد كيف تُختبر على أن نتظاهر بأنها لن تُختبر.

هل تدفعون مكافآت مقابل البلاغات؟

لا نشغّل حاليًا برنامج مكافآت مدفوعًا. وإن رغبتم نذكر اسمكم في الإشعار الأمني، ونخبركم بصراحة بما أصلحناه ومتى.

هل NOUSEC حاصلة على شهادة SOC 2 أو ISO/IEC 27001؟

لا. لم تُكمل NOUSEC تدقيق SOC 2 أو ISO/IEC 27001، ولا تحمل شهادة في أي منهما. تُنتج المنصة أدلة مربوطة بالأطر لتدقيقكم أنتم؛ وهذه قدرة في المنتج، لا تصريح عن حالة شهاداتنا.

هل تتخذون إجراءات قانونية ضد الباحثين حسني النية؟

لا. إذا التزمتم بالنطاق وقواعد الاشتباك في هذه الصفحة، وتصرفتم بحسن نية، ومنحتمونا فرصة معقولة لإصلاح المشكلة قبل الإفصاح عنها، فلن نتخذ أي إجراء قانوني ضدكم ولن ندعمه، وسنؤكد ذلك كتابةً إن طلبتم.

وجدتم شيئًا؟ أخبرونا.

[email protected]: يقرؤه شخص حقيقي، وتتلقون ردًا خلال يومي عمل.

احجز عرضًا توضيحيًااستعرضوا المنصة

منشور وفق RFC 9116 · security.txt