تأخذ Sharkforce Inc. أمان Docshark على محمل الجد. تلخّص هذه الصفحة وسائل الحماية التي طبّقناها، وتوضح كيفية الإبلاغ عن مشكلة أمنية. ونرحّب بالتقارير الواردة من مجتمع الأمن ونريد للباحثين أن يتمكنوا من التعاون معنا بحسن نية.
1. لمحة عن الأمان
نحمي البيانات أثناء النقل عبر TLS/HTTPS. ونطبّق ضوابط وصول قائمة على مبدأ الحد الأدنى من الامتيازات على أنظمة الإنتاج، بحيث يقتصر الوصول إلى البيانات على ما تدعو إليه الحاجة. ويحتفظ Docshark بسجل تدقيق مقاوم للعبث ومترابط بالتجزئة (hash-chained)، إلى جانب تجزئة سلامة الوثائق بخوارزمية SHA-256، ويدعم اختياريًا ختم ملفات PDF المكتملة بصيغة PAdES مع طوابع زمنية موثوقة وفق RFC 3161. وتُستضاف الخدمة على Google Cloud. وللاطلاع على مزودي الخدمات الذين يعالجون البيانات نيابةً عنا والتزاماتنا بوصفنا معالِجًا، راجع قائمة المعالِجين الفرعيين (/legal/subprocessors) وملحق معالجة البيانات (/legal/dpa).
2. حماية البيانات
يرد بيان كيفية جمعنا للمعلومات الشخصية واستخدامها والاحتفاظ بها وحمايتها في إشعار خصوصية Docshark (/legal/privacy). أما التزاماتنا حين نعالج البيانات الشخصية نيابةً عن العملاء — بما في ذلك التدابير الأمنية والمعالِجون الفرعيون وعمليات النقل الدولية — فمبيّنة في ملحق معالجة البيانات لدينا (/legal/dpa). ويُرجى مراجعة هاتين الوثيقتين للاطلاع على تفاصيل الضوابط الملخَّصة هنا.
3. الإبلاغ عن ثغرة
إذا كنت تعتقد أنك اكتشفت ثغرة أمنية، فراسلنا على [email protected]. ويُرجى تضمين تفاصيل كافية تتيح لنا إعادة إنتاج المشكلة وتقييمها: خطوات إعادة الإنتاج، والأثر المحتمل، وأي إثبات للمفهوم (proof-of-concept). وللحفاظ على سلامة الجميع أثناء بحثك، يُرجى عدم الوصول إلى بيانات الآخرين أو تعديلها أو حذفها، وعدم إجراء اختبارات مدمِّرة أو معطِّلة، ومنحنا وقتًا معقولًا للتحقيق والمعالجة قبل الإفصاح العلني عن المشكلة.
4. الملاذ الآمن
إذا بذلت جهدًا بحسن نية للالتزام بهذه السياسة أثناء بحثك، فسنعدّ نشاطك مأذونًا، وسنعمل معك على فهم المشكلة وحلّها بسرعة، ولن نلاحقك قضائيًا ولن ندعم اتخاذ إجراء قانوني ضدك بسبب ذلك البحث. وإذا رفع طرف خارجي دعوى ضدك بسبب نشاط التزم بهذه السياسة، فسنوضّح أن أفعالك جرت امتثالًا لها. ولا يسري هذا الملاذ الآمن على أي نشاط يخالف القانون أو يضرّ عمدًا بالمستخدمين أو البيانات.
5. استجابتنا
نُقرّ باستلام التقارير التي تصلنا ونعمل على التحقق من المشكلات المؤكدة ومعالجتها وفق جدول زمني يتناسب مع خطورتها. وقد نتواصل معك لطلب تفاصيل إضافية، ونقدّر الإفصاح المنسَّق ريثما يجري إعداد الإصلاح. ولا نُشغّل برنامج مكافآت مدفوعة للثغرات (bug bounty) في الوقت الراهن، لذا لا يسعنا تقديم مكافآت مالية، لكننا ممتنون للتقارير المسؤولة وسننسب الفضل إلى الباحثين عند الطلب وحيثما كان ذلك مناسبًا.
6. النطاق
ضمن النطاق: موقع doc-shark.com وتطبيق Docshark. خارج النطاق: خدمات الأطراف الخارجية والبنية التحتية التي لا نشغّلها (بما في ذلك الأنظمة الخاصة بمعالِجينا الفرعيين)، والهندسة الاجتماعية لموظفينا أو عملائنا أو موردينا، واختبارات الحرمان من الخدمة الحجمية (DoS/DDoS). كما تقع عمومًا خارج النطاق النتائج التي تتطلب وصولًا ماديًا أو جهازًا مخترَقًا أو ذا صلاحيات الجذر أو وصولًا يتمتع أصلًا بامتيازات. وإن لم تكن متأكدًا مما إذا كان شيء ما ضمن النطاق، فتواصل معنا قبل الاختبار.
7. السياسة القابلة للقراءة آليًا
تتوفر نسخة قابلة للقراءة آليًا من هذه السياسة، وفق RFC 9116، على المسار /.well-known/security.txt.