سياسة الأمان والإفصاح عن الثغرات
أبلِغ بمسؤولية.
كيف يمكن للباحثين الأمنيين حسني النية أن يختبروا أصول الويب العامة المملوكة لـ WAE ويبلّغوا عن مشكلاتها بمسؤولية: ما يدخل في النطاق، وما هو محظور، وما يتضمنه البلاغ، وما يحدث بعده. لا اتفاقيات مستوى خدمة مختلَقة، ولا مكافآت مختلَقة.
الغرض
ترحّب WAE Media, LLC بالبلاغات المقدَّمة بحسن نية عن المشكلات الأمنية في أصول الويب العامة التي تملكها. وتشرح هذه السياسة كيف يُجرى الاختبار والإبلاغ بمسؤولية، وما تعدّه WAE داخل النطاق، وما السلوك المحظور. ولا ينشئ اتباع هذه السياسة أي علاقة تعاقدية أو علاقة عمل أو علاقة خدمة بينك وبين WAE.
النطاق
الأصول الداخلة في النطاق هي أسطح الويب العامة المملوكة لـ WAE على waehq.com — أي الموقع العام على https://waehq.com، وصفحاته العامة، وأصوله الثابتة العامة. ويجب أن يكون الاختبار غير مدمِّر، وأن يقتصر على هذه الأسطح.
وتقع خارج النطاق، ما لم تأذن بها WAE Media, LLC إذنًا مستقلًا وصريحًا ومكتوبًا:
- أي نظام داخلي أو خاص أو إداري أو محميّ بالمصادقة لدى WAE؛
- أي نطاق آخر لـ WAE، أو موقع علامة، أو نطاق فرعي؛
- الأنظمة التي تشغّلها أطراف ثالثة، ومنها Cloudflare وMeta وGitHub وGoogle، أو أي مزوّد بنية تحتية تستخدمه WAE — فاستخدام خدمة طرف ثالث لا يعني الإذن باختبار ذلك الطرف؛
- واجهات برمجة التطبيقات أو المنصات أو الممتلكات الخاصة بـ Meta (Facebook وInstagram) أو بأي منصة أخرى تتصل بها WAE.
إذا وجدت ثغرة في نظام طرف ثالث أثناء اختبار أصل داخل النطاق، فأوقف اختبار ذلك النظام وأبلِغ WAEبملاحظتك؛ وستوجّهها WAE إلى الجهة المناسبة إن أمكن.
البحث بحسن نية والإذن
ترحّب WAE بالبلاغات المسؤولة المقدَّمة بحسن نية عن أصول الويب العامة التي تملكها وتقع داخل النطاق، وتقدّر الباحثين الذين يختبرون دون إحداث ضرر ويبلّغون دون تأخير. وتصف هذه السياسة الطريقة التي تودّWAE أن يُجرى بها البحث والإبلاغ.
هذه السياسة حدٌّ للإفصاح المسؤول، وليست منحًا للحصانة: فهي لا تعِد بملاذ قانوني آمن، ولا تعِد بأنWAE لن تتخذ إجراءً قانونيًا، ولا تتنازل عن أي حق من حقوق WAE. ولا تأذن بأي نشاط يتجاوز الاختبار غير المدمِّر لأصول WAE العامة الداخلة في النطاق والموصوفة أعلاه، ولا تأذن مطلقًا بنشاط على أنظمة أطراف ثالثة أو بنشاط يخالف القانون المعمول به.
والباحثون الذين يلتزمون هذا الحد يجعلون مراجعة WAE وتنسيقها أيسر بكثير، وتطلب WAE من المبلِّغين اتباع توقعات الإفصاح المنسَّق الواردة أدناه.
البحث المسموح به
الاختبار المعقول وغير المدمِّر لأسطح الويب العامة الداخلة في النطاق، ومن أمثلته:
- مراجعة محتوى الصفحات العامة، وشيفرة الترميز، والترويسات، وملفات الإعداد التي تنشرها WAE نفسها؛
- اختبار ثغرات الويب الشائعة (مثل معالجة المحتوى المنعكس أو ضعف الإعداد) دون استغلال ضوابط الوصول؛
- استخدام حسابات الاختبار وبيانات الاختبار الخاصة بك وحدها؛
- الفحص الآلي بمعدّل منخفض لا يسبب أي تعطيل؛
- والإبلاغ عن نتائجك وفقًا لهذه السياسة.
الأنشطة المحظورة وعالية الخطورة
يُحظر ما يلي في أي نشاط بحثي أو إبلاغي، سواء أكان داخل النطاق أم خارجه:
- حجب الخدمة، وحجب الخدمة الموزَّع، واستنزاف الموارد، وأي اختبار يُضعف الخدمة أو يعطّلها؛
- الاختبار المدمِّر، أو تعديل البيانات أو حذفها أو إفسادها؛
- الهندسة الاجتماعية، والتصيّد، وانتحال الذرائع، أو التلاعب بموظفي WAE أو مستخدميها أو مورّديها؛
- حشو بيانات الاعتماد، أو تخمين كلمات المرور أو كسرها، أو أي هجوم على المصادقة؛
- الرسائل المزعجة، أو المراسلة الجماعية، أو الحركة المسيئة؛
- الهجمات المادية أو محاولات الوصول المادي؛
- تثبيت آليات استمرار أو أبواب خلفية أو برمجيات خبيثة من أي نوع؛
- الوصول إلى حساب شخص آخر أو بياناته أو محتواه بما يتجاوز الحد الأدنى اللازم لتأكيد الثغرة، وعدم فعل ذلك على نطاق واسع مطلقًا؛
- الاستخراج الجماعي للبيانات الشخصية؛
- تعطيل أنظمة الإنتاج أو الخدمات أو المستخدمين عمدًا؛
- وأي نشاط يخالف القانون المعمول به أو أي شروط سارية لطرف ثالث.
إذا كان تأكيد مشكلةٍ ما يتطلب أيًّا مما سبق، فتوقّف وأبلِغ عن ملاحظتك بدلًا من ذلك.
إذا صادفت بيانات حساسة
إذا صادفت أثناء البحث معلومات شخصية أو بيانات اعتماد أو أسرارًا أو محتوى خاصًا:
- قلّل وصولك فورًا — ولا تستكشف أبعد مما يلزم لتأكيد المشكلة؛
- لا تحتفظ بالبيانات، ولا تنسخها، ولا تعِد توزيعها، ولا تنشرها؛
- أوقف أي استكشاف غير ضروري للبيانات؛
- وأبلِغ WAE بالمشكلة، واصفًا البيانات التي صادفتها بقدرٍ يكفي لتحديد موضعها دون إعادة إنتاجها.
ما يتضمنه البلاغ المفيد
- الأصل أو عنوان URL المتأثر؛
- نوع الثغرة وأثرها المرجَّح؛
- خطوات واضحة قابلة للتكرار (إثبات مفهوم في حده الأدنى فقط — لا ترفق أدوات استغلال)؛
- لقطات شاشة أو مقتطفات سجلات ذات صلة حيث يكون إدراجها آمنًا؛
- وعنوان للتواصل إن اخترت تقديمه (اختياري).
اكتب البلاغ بالإنجليزية حيثما أمكن. ولا تُدرج بيانات اعتماد، ولا بيانات شخصية لأطراف ثالثة، ولا مقتطفات بيانات جماعية.
الإفصاح المنسَّق
تطلب WAE من الباحثين منحها فرصة معقولة للتحقيق والمعالجة قبل الإفصاح العلني عن أي ثغرة. وهدفWAE أن تؤكد استلام البلاغات وأن تعمل مع المبلِّغين؛ غير أن WAE لا تضمن جدولًا زمنيًا ثابتًا للرد أو للمعالجة، ولا تَعِد هذه السياسة بأي اتفاقية مستوى خدمة.
وإذا أبلغت بحسن نية ثم رأيت لاحقًا أن المشكلة تستدعي اهتمامًا علنيًا لأسباب تتعلق بالسلامة، فنسّق التوقيت مع WAE حيثما كان ذلك ممكنًا على نحو معقول.
حالة المكافآت
لا تدير WAE حاليًا برنامجًا لمكافآت اكتشاف الثغرات ولا برنامجًا مدفوعًا لمكافأتها. ولا ينشئ تقديم البلاغ أي استحقاق لتعويض أو مكافأة أو دفع من أي نوع. وإذا أنشأت WAE برنامجًا للمكافآت مستقبلًا، فسيُعلَن عنه في هذه الصفحة.
جهة الإبلاغ
أرسل البلاغات الأمنية إلى:
سطر الموضوع المقترح: Security Vulnerability Report — WAE HQ.
هذا هو العنوان المخصَّص لدى WAE للإبلاغ الأمني، ويُوجَّه إلى نظام البريد الخاضع للمراقبة في الشركة. يُرجى استخدام سطر الموضوع أعلاه كي تُفرَز البلاغات بوصفها مراسلات أمنية.
لا ترسل عبر البريد الإلكتروني بيانات اعتماد ولا مرفقات خبيثة ولا بيانات جماعية. وإذا احتجت إلى مشاركة إثبات مفهوم كبير أو حساس، فصِفه في البلاغ أولًا، وستقترح WAE طريقة تبادل آمنة.
حالة السياسة وتعديلاتها
تسري هذه السياسة اعتبارًا من 21 سبتمبر 2026، وقد تُحدَّث مع تطور ممارسات الأمان لدى WAE. والنطاق المأذون به وجهة الاتصال وحالة المكافآت المذكورة في هذه الصفحة هي النسخ الحالية. وأي تغيير جوهري سيُنشر هنا، ويُعكَس في ملف الاكتشاف security.txt الخاص بـ WAE.