الإبلاغ المسؤول عن الثغرات

تشمل هذه السياسة مواقع الويب التي تشغّلها داتاسك على النطاق datasec.sa ونطاقاته الفرعية، بما فيها الموقع العام ونماذجه وبوابة التوظيف.

لا تشمل السياسة أنظمة عملائنا، ولا الأنظمة التي نديرها نيابةً عن عملاء بموجب عقود، ولا خدمات الأطراف الأخرى التي نستخدمها (مثل مزودي الاستضافة والبريد). إذا وجدتم ثغرة في خدمة طرف آخر، أبلغوا ذلك الطرف مباشرة.

أرسلوا البلاغ إلى info@datasec.sa. تجدون بيانات التواصل نفسها في ملف security.txt على المسار /.well-known/security.txt. نقبل البلاغات بالعربية أو الإنجليزية.

يساعدنا البلاغ الجيد على التحقق بسرعة. يرجى تضمين ما يلي:

• عنوان الصفحة أو الخدمة المتأثرة ونوع الثغرة.
• خطوات إعادة الإنتاج بالتفصيل، مع الطلبات والاستجابات ذات الصلة أو لقطات الشاشة.
• الأثر المحتمل كما تقدرونه.
• أي أدوات أو إعدادات خاصة استخدمتموها.
• طريقة التواصل معكم للمتابعة، وما إذا كنتم ترغبون في ذكر اسمكم عند الإصلاح.

لا ترسلوا بيانات شخصية لأطراف أخرى أو محتوى مستخرجاً من أنظمتنا في البلاغ؛ يكفي وصف ما تمكنتم من الوصول إليه.

نعد البحث بحسن نية إذا التزمتم بما يلي:

• التوقف فور إثبات وجود الثغرة، دون التوسع في الوصول أو استخراج البيانات أو تعديلها.
• عدم الوصول إلى بيانات لا تخصكم، وإذا حدث ذلك عرضاً، التوقف وإبلاغنا وحذف ما لديكم.
• عدم تعطيل الخدمة أو الإضرار بتجربة المستخدمين.
• استخدام حساباتكم أو بياناتكم أنتم فقط في الاختبار.
• عدم الإفصاح العام عن الثغرة قبل أن نصلحها ونتفق معكم على الإفصاح.
• عدم طلب مقابل مالي شرطاً للإبلاغ أو للامتناع عن الإفصاح.

إذا التزمتم بهذه السياسة، فإننا نعد بحثكم مصرحاً به ولن نتخذ إجراءً نظامياً ضدكم بسببه، وسنعمل معكم لفهم المشكلة وحلها. لا يمكننا تقديم هذا التعهد نيابةً عن أطراف أخرى أو عن جهات إنفاذ النظام، لكننا لن نبادر بأي شكوى ضد بحث التزم بالقواعد أعلاه.

لا تشمل هذه السياسة، ولا نعده بحثاً مصرحاً به، ما يلي:

• هجمات حجب الخدمة أو أي اختبار يُثقل الخدمة أو يعطلها.
• الهندسة الاجتماعية أو التصيّد الموجه إلى موظفينا أو عملائنا أو شركائنا.
• الوصول المادي إلى مقارنا أو أجهزتنا.
• الفحص الآلي المكثف الذي يولّد حجماً كبيراً من الطلبات.
• نتائج الأدوات الآلية دون إثبات أثر فعلي.
• ثغرات في خدمات الأطراف الأخرى، أو في أنظمة العملاء.
• مسائل تعتمد على متصفح أو نظام قديم غير مدعوم.

• نؤكد استلام بلاغكم ونبلغكم بمن يتابعه.
• نتحقق من البلاغ ونعمل على المعالجة بحسب الخطورة، ونطلعكم على التقدم عند وجود جديد.
• بعد الإصلاح، نتفق معكم على توقيت الإفصاح إن رغبتم فيه، ونذكر اسمكم شكراً لكم إذا أردتم ذلك.

لا نحدد مواعيد زمنية ملزمة في هذه السياسة، ولا نقدم برنامج مكافآت مالية. نتعامل مع كل بلاغ بجدية بغض النظر عن ذلك.