گزارش یک مشکل امنیتی
اگر در هیلمو ضعفی پیدا کردید، لطفاً به ما بگویید. این صفحه می‌گوید چه چیزی را می‌توانید آزمایش کنید، چگونه گزارش دهید و از ما چه انتظاری داشته باشید.
آنچه در دامنه است
- app.hailmo.com
- hailmo.com
- برنامه‌های هیلمو برای اندروید و آیفون
- API پشت آن‌ها
آنچه خارج از دامنه است
- حملهٔ ممانعت از سرویس و آزمون بار
- هرزنامه
- مهندسی اجتماعی یا فیشینگ علیه کارکنان یا کاربران ما
- حملات فیزیکی
- حمله به سرویس‌هایی که استفاده می‌کنیم اما اداره نمی‌کنیم (گوگل، اپل، Stripe، Firebase، میزبانی ما)
- گزارش اسکنرهای خودکار بدون اثر اثبات‌شده
- نبودن سرایندهای توصیه‌شده بدون امکان سوءاستفاده
- Self-XSS
- کلیک‌ربایی در صفحاتی بدون کنش حساس
- مشکلاتی که به مرورگر قدیمی یا دستگاه روت‌شده یا جیلبریک‌شده نیاز دارند
قواعد
- فقط با حساب‌هایی که خودتان دارید آزمایش کنید.
- هرگز به داده‌های دیگران دسترسی پیدا نکنید، آن‌ها را تغییر ندهید و حذف نکنید. اگر به داده‌های کس دیگری رسیدید، متوقف شوید و به ما بگویید.
- سرویس را برای دیگران مختل نکنید.
- پیش از انتشار، زمان معقولی برای رفع مشکل به ما بدهید. هدف ما حداکثر ۹۰ روز است و هر وقت رفع شد زودتر.
حمایت حقوقی
پژوهشی که با حسن نیت و مطابق این سیاست انجام شود مجاز است. به خاطر آن علیه شما اقدام حقوقی نمی‌کنیم و اگر شخص ثالثی بپرسد همین را می‌گوییم.
چگونه گزارش دهید
به security@hailmo.com ایمیل بزنید و این‌ها را بنویسید:
- مراحل بازتولید مشکل
- آنچه مهاجم با آن می‌تواند انجام دهد
- نشانی یا نسخهٔ برنامهٔ تحت‌تأثیر
لطفاً داده‌های شخصی دیگران را همراه گزارش نفرستید.
چه انتظاری داشته باشید
- دریافت گزارش شما را ظرف ۳ روز کاری تأیید می‌کنیم.
- ظرف ۱۰ روز کاری ارزیابی اولیه را به شما می‌دهیم.
- تا رفع مشکل شما را در جریان می‌گذاریم و اگر بخواهید از شما نام می‌بریم.
پاداش
هنوز برنامهٔ پاداش پولی برای یافتن اشکال نداریم. برای گزارش‌های معتبر و مهم ممکن است به صلاحدید خودمان یک تشکر بفرستیم.