Neden bu sayfa var
Başkalarının ürünlerindeki açıkları bulmakla geçiniyoruz. Kendi sistemlerimizde açık bulunduğunda bunu duymak isteriz; duymamak, işimizin mantığına aykırı olurdu.
Bu sayfa, bir açığı bize güvenle bildirmenizin yolunu tanımlar ve karşılığında ne taahhüt ettiğimizi yazar.
Kapsam
sendthecanary.com ve tüm alt alan adları.
Müşteri paneli ve arkasındaki API.
Kendi adımıza gönderdiğimiz e-postaların altyapısı (SPF, DKIM, DMARC yapılandırması).
Kaynak kodumuzun kamuya açık depoları, varsa.
Kapsam dışı
Müşterilerimizin sistemleri. Bir müşterimizin ürününde açık bulduysanız bize değil, doğrudan o kuruluşa bildirin.
Kullandığımız üçüncü taraf hizmetler. Bunları ilgili sağlayıcıya bildirin; isterseniz yönlendirmenize yardımcı oluruz.
Sosyal mühendislik, fiziksel güvenlik ve çalışanlarımıza yönelik oltalama denemeleri.
Kanıtlanabilir bir güvenlik etkisi olmayan bulgular: eksik güvenlik başlıkları, açık ama sömürülemeyen sürüm bilgisi, otomatik tarayıcı çıktısının ham hâli, SPF/DMARC dışındaki e-posta yapılandırma önerileri.
Hizmet engelleme (DoS) ve yük testleri. Bunları yapmayın.
Nasıl bildirilir
Bildiriminizi [email protected] adresine gönderin.
Mümkünse şifreli gönderin. PGP anahtarımız aynı adrese "anahtar" konulu boş bir e-posta atarak alınabilir.
Bildiriminizi Türkçe ya da İngilizce yazabilirsiniz.
Bildirimde neler olsun
Etkilenen adres, uç nokta ya da bileşen.
Açığın türü ve sizce doğurduğu etki.
Tekrar üretim adımları — yeterince ayrıntılı olsun ki biz de görebilelim.
Varsa ekran görüntüsü, istek ve yanıt kaydı, kavram kanıtı.
Sizinle nasıl iletişim kuracağımız ve teşekkür listesinde nasıl anılmak istediğiniz.
Uymanızı istediğimiz kurallar
Yalnızca kendi hesabınızla ya da test için oluşturduğunuz hesaplarla çalışın.
Başka kullanıcıların verisine erişmeyin. Erişebildiğinizi fark ederseniz orada durun, ilerlemeyin ve bunu bildiriminizde yazın.
Veri silmeyin, değiştirmeyin ve dışarı çıkarmayın. Bir kaydın varlığını göstermek yeterlidir; içeriğini indirmek gerekmez.
Hizmeti aksatmayın: yük bindirmeyin, kaba kuvvet denemesi yapmayın, otomatik tarayıcıyı yüksek hızda çalıştırmayın.
Kalıcı bir erişim yolu bırakmayın; test amaçlı oluşturduğunuz her şeyi temizleyin.
Açığı, biz düzeltene ve birlikte kararlaştırdığımız tarihe kadar kamuya açıklamayın.
Yanıt taahhüdümüz
Bildiriminizi 2 iş günü içinde aldığımızı bildiririz.
10 iş günü içinde ilk değerlendirmemizi paylaşırız: bulguyu doğruladık mı, doğruladıysak hangi önem derecesini verdik.
Düzeltme sürecinde en az 15 günde bir durum bilgisi veririz. Düzeltme tamamlandığında size haber veririz.
Bulguyu geçerli saymazsak, gerekçesini yazarız. Katılmıyorsanız itiraz edebilirsiniz.
Düzeltme hedeflerimiz
Kritik: 7 gün. Yüksek: 30 gün. Orta: 90 gün. Düşük: bir sonraki planlı sürüm.
Bir hedefi kaçıracaksak bunu size önceden ve gerekçesiyle bildiririz.
Güvenli liman
Bu sayfadaki kurallara uyarak iyi niyetle araştırma yapan kişilere karşı hukuki işlem başlatmayız ve yetkili makamlara şikâyette bulunmayız.
Kurallara uyduğunuz sürece, araştırmanızı sistemlerimize yetkili erişim olarak kabul ederiz.
Bir üçüncü taraf sizden şikâyetçi olursa, kurallara uyduğunuzu belgelemek üzere destek oluruz.
Bu güvenli liman, yalnızca kapsam içindeki sistemler ve yalnızca yukarıdaki kurallara uyulması hâlinde geçerlidir.
Kamuya açıklama
Düzeltme tamamlandıktan 90 gün sonra bulgunuzu yayımlayabilirsiniz.
Daha erken yayımlamak isterseniz konuşalım; çoğu durumda anlaşabiliyoruz.
Bir açığın düzeltilmesi 90 günü aşarsa, süreyi birlikte yeniden değerlendiririz. Süresiz erteleme talep etmeyiz.
Yayımlarken müşteri verisi, müşteri adı ve müşteri sistemlerine ait hiçbir ayrıntıyı paylaşmamanızı rica ederiz.
Ödül
Şu anda parasal ödül programımız yok.
Geçerli ve daha önce bildirilmemiş bulgular için, kabul ederseniz teşekkür listemizde adınıza yer veririz.
Kritik bir bulgu için takdiri ayrıca değerlendirir, sizinle iletişime geçeriz.
Teşekkür listesi
Bize açık bildiren araştırmacıları, izinleri hâlinde bu sayfada anarız.
Adınızın, takma adınızın ya da hiçbir şeyin yazılmamasını tercih edebilirsiniz. Tercihinizi bildiriminizde belirtin.
Kapsam güncellemesi
Yeni bir sistem yayına aldığımızda kapsamı güncelleriz.
Kapsamda olup olmadığından emin değilseniz, test etmeden önce sorun. Sormak her zaman kabul edilir.
Bu belgeler İngilizce ve Türkçe olarak yayımlanır. Çelişki hâlinde Türkçe metin esas alınır.