Güven Merkezi · Açık bildirimi
Güvenlik açığı bildirim politikası
Güvenlik araştırmacılarının emeğine değer veriyoruz. Bir açık bulduysanız bize bildirin; birlikte düzeltip kullanıcıları koruyalım.
Nasıl bildirilir?
Bulgunuzu e-postayla gönderin. Türkçe veya İngilizce yazabilirsiniz. Mümkünse şunları ekleyin:
- 1Etkilenen bileşen ve adres (web uygulaması, API uç noktası veya eklenti sürümü)
- 2Sorunu yeniden üretme adımları ve varsa kavram kanıtı
- 3Tahmini etki: hangi veri veya hangi hesaplar etkileniyor
- 4Teşekkür listesinde nasıl anılmak istediğiniz (isteğe bağlı)
- Lütfen başka kullanıcıların verilerini veya şifreli kasalarını e-postanıza eklemeyin.
Güvenlik iletişimi
İletişim bilgileri RFC 9116 biçiminde de yayımlıdır:
muhammed@aliguc.com
Kapsam
Kapsamda
- auth.aliguc.com üzerindeki web uygulaması (kasa, giriş, kurtarma, kuruluşlar) ve bu tanıtım sitesi
- Aynı kökendeki API (/api/*)
- MGVault tarayıcı eklentisi (Firefox ve Chromium sürümleri)
- Bu sitede yayımlanan kripto tasarımı ve teknik rapordaki iddialar
Kapsam dışı
- Sosyal mühendislik, oltalama ve fiziksel saldırılar
- Hizmet engelleme (DoS/DDoS), hacimsel saldırılar ve yük testleri
- Üçüncü taraf hizmetlerdeki açıklar (ör. ödeme, e-posta veya barındırma sağlayıcısı); bunları ilgili sağlayıcıya bildirin
- Root veya jailbreak yapılmış, kötü amaçlı yazılım bulaşmış ya da fiziksel olarak ele geçirilmiş bir cihaz gerektiren bulgular
- Desteklenmeyen veya güncel olmayan tarayıcılarda ortaya çıkan sorunlar
- Güvenlik etkisi gösterilmemiş otomatik tarama çıktıları, yalnızca başlık önerileri ve sürüm bilgisi gösterimi
- Teknik raporda bilinen sınır olarak açıklanmış davranışlar (yeni bir saldırı yolu göstermiyorsa)
Araştırma kuralları
- 01
Yalnızca kendi hesaplarınızı ve test için oluşturduğunuz kuruluşları kullanın.
- 02
Başka kullanıcıların verisine erişmeyin, değiştirmeyin veya silmeyin. Yanlışlıkla erişirseniz durun ve bize bildirin.
- 03
Hizmeti bozabilecek testlerden (yoğun otomatik tarama, kaba kuvvet, DoS) kaçının ve hız sınırlarına uyun.
- 04
Açık düzeltilene kadar kamuya açıklamayın ve başkalarıyla paylaşmayın.
- 05
Kanıt için gerekenden fazla veri almayın; test bitince elde ettiğiniz verileri silin.
İyi niyetli araştırma güvencesi
Bu politikaya uyan, iyi niyetle yürütülmüş güvenlik araştırmasını yetkili kabul ederiz. Böyle bir araştırma nedeniyle size karşı hukuki yola başvurmayız ve şikâyette bulunmayız.
Politikaya uyduğunuz hâlde araştırmanız nedeniyle üçüncü bir taraf size karşı işlem başlatırsa, araştırmanızın bu politikaya uygun olduğunu açıkça belirtiriz.
Bu güvence yürürlükteki mevzuatın izin verdiği ölçüdedir ve yalnızca bizim sistemlerimizi kapsar; üçüncü tarafların sistemleri için izin veremeyiz. Bir şeyin kapsamda olup olmadığından emin değilseniz önce bize yazın.
Yanıt süresi hedeflerimiz
Küçük bir ekibiz. Bu süreleri bağlayıcı bir hizmet seviyesi olarak değil, uymaya çalıştığımız hedefler olarak paylaşıyoruz.
3 iş günü
Alındı bildirimi
Bildiriminizi aldığımızı ve incelediğimizi yazarız.
10 iş günü
İlk değerlendirme
Bulguyu doğrular, önem derecesini ve düzeltme planımızı paylaşırız.
90 gün
Koordineli açıklama
Düzeltmeyi yayımladıktan sonra açıklamayı sizinle birlikte yaparız. Daha uzun sürmesi gerekirse nedenini açıklar, yeni bir tarih üzerinde anlaşırız.
Süreç boyunca sizi bilgilendiririz. Kullanıcıları etkileyen düzeltmeler güvenlik değişiklik kaydında yer alır.
Ödül programı
Şu anda ücretli bir hata ödül programı sunmuyoruz. Bir program planlanmaktadır; başladığında bu sayfada duyurulacaktır. Dilerseniz katkınızı teşekkür listesinde adınızla anarız.
Teşekkürler
Bu politikaya uygun bildirimde bulunan ve adının yayımlanmasını isteyen araştırmacıları burada anarız.
Liste henüz boş. İlk adı siz yazdırabilirsiniz.
Hemen başlayın
Kasanızı bir dakikadan kısa sürede oluşturun
Kişisel kullanım ücretsiz. Anahtarlarınız cihazınızda — şu anda, tarayıcınızda — oluşturulur.