گزارش آسیب‌پذیری امنیتی
نسخه ۱٫۰ · به‌روزرسانی ۲۹ مهر ۱۴۰۵
امنیت اطلاعات و عکس‌های کاربران برای قابینو در اولویت است. اگر در سایت، پنل کاربری یا API قابینو به آسیب‌پذیری امنیتی برخورده‌اید، از شما سپاسگزاریم که آن را مسئولانه و پیش از هرگونه انتشار عمومی به ما اطلاع دهید.
۱. نحوهٔ گزارش
گزارش خود را به نشانی info@qhabino.ir ارسال کنید و در عنوان ایمیل عبارت «گزارش امنیتی» را بنویسید. برای بررسی سریع‌تر، موارد زیر را در گزارش بیاورید:
- نشانی صفحه یا مسیر API و شرح کوتاه آسیب‌پذیری؛
- مراحل دقیق بازتولید و در صورت امکان تصویر یا ویدیو؛
- اثر احتمالی آسیب‌پذیری و داده‌هایی که در معرض خطر قرار می‌گیرد؛
- راه ارتباطی برای پیگیری.
لطفاً هیچ رمز عبور، کلید یا اطلاعات شخصی دیگران را در گزارش قرار ندهید.
۲. تعهدات ما
- دریافت گزارش حداکثر ظرف ۳ روز کاری تأیید می‌شود.
- نتیجهٔ بررسی اولیه و برنامهٔ رفع حداکثر ظرف ۱۰ روز کاری اعلام می‌شود.
- آسیب‌پذیری‌های جدی در کوتاه‌ترین زمان ممکن برطرف می‌شوند و پس از رفع، به اطلاع شما می‌رسد.
- در صورت تمایل، نام شما به‌عنوان گزارش‌دهنده با سپاس در فهرست قدردانی ذکر می‌شود.
- علیه پژوهشگرانی که با حسن نیت و مطابق این صفحه عمل کنند، هیچ‌گونه اقدام حقوقی یا قضایی انجام نمی‌دهیم.
۳. قواعد پژوهش مسئولانه
- تنها با حساب کاربری خودتان آزمایش کنید و به حساب، عکس یا اطلاعات کاربران دیگر دسترسی پیدا نکنید، آن را تغییر ندهید و حذف نکنید.
- اگر ناخواسته به اطلاعات دیگران دسترسی یافتید، آزمایش را متوقف کنید، اطلاعات را نگه ندارید و موضوع را فوراً گزارش دهید.
- از پرداخت واقعی، دست‌کاری کوین یا کیف پول به نفع خود و ایجاد هزینه برای قابینو یا کاربران خودداری کنید.
- پیش از رفع آسیب‌پذیری، آن را به‌طور عمومی منتشر نکنید.
۴. موارد خارج از محدوده
- حملهٔ منع سرویس (DoS) و آزمون بار سنگین؛
- مهندسی اجتماعی، فیشینگ یا تماس با کارکنان و کاربران قابینو؛
- دسترسی فیزیکی به دفتر یا تجهیزات؛
- ارسال انبوه پیامک یا ایمیل و هرگونه هرزنامه؛
- گزارش‌های خودکار ابزارهای اسکن بدون اثبات قابلیت بهره‌برداری؛
- نبود سرآیندهای امنیتی یا تنظیمات کم‌اثر بدون سناریوی حملهٔ عملی؛
- آسیب‌پذیری در سرویس‌های اشخاص ثالث (مانند درگاه پرداخت یا سرویس‌دهندگان هوش مصنوعی) که باید به خود آن‌ها گزارش شود.
۵. فایل security.txt
اطلاعات تماس امنیتی قابینو مطابق استاندارد RFC 9116 در نشانی /.well-known/security.txt نیز منتشر شده است.