Bug Bounty
دلّنا على ثغرة في سورنا، ولك الشكر والمكافأة.
لا نظام بلا عيوب، ونظامنا ليس استثناء. إن وجدت ثغرة أمنية في موقعنا أو في الخدمات التي نشغّلها، فأخبرنا نحن قبل أي أحد. نصلحها سريعًا، ونُبقيك على اطّلاع، ونكافئ على كل ثغرة يثبت أنها حقيقية.
- مكافآت على الثغرات المؤكدة
- لا ملاحقة قانونية لمن يبحث بحسن نية
- بلاغك يبقى سرًّا بيننا
- البلاغ بالعربية أو الإنجليزية
من بلاغك إلى مكافأتك
تبلّغنا
اكتب إلى security (at) ultaria.com بما وجدت
نؤكّد الاستلام
نسعى إلى الردّ خلال ثلاثة أيام عمل
نصلح
ونخبرك حين ننتهي
تُكافأ
بحسب الخطورة، بعد التحقق من الثغرة
قواعد واضحة للطرفين
الإفصاح المسؤول ينجح حين يلتزم الطرفان بكلمتهما. هذه كلمتنا، وهذا ما نطلبه منك.
أخبرنا أولًا، وبلا تأخير
بلّغ عن الثغرة حال اكتشافها. كلما عرفنا أبكر، أُغلقت أبكر.
أمهلنا حتى نصلحها
أبقِ التفاصيل طيّ الكتمان إلى أن نؤكد لك الإصلاح، ولا تنشرها أو تشاركها مع أحد قبل ذلك.
اختبر على حساباتك أنت
استخدم حسابات وبيانات تخصّك وحدك، ولا تقرأ أو تعدّل أو تحذف شيئًا يخصّ غيرك.
لا انتحال ولا خداع
لا تنتحل صفة أحد من فريقنا أو عملائنا أو أي باحث آخر، ولا تحاول استدراج موظفينا. الهندسة الاجتماعية خارج هذا البرنامج.
لن نلاحقك
ما دمت ملتزمًا بهذه القواعد وتعمل بحسن نية، فلن نتخذ بحقك أي إجراء قانوني بسبب بحثك.
ويبقى الأمر بيننا
بلاغك سرّي. لا نشارك بياناتك الشخصية مع أحد دون موافقتك، إلا إن ألزمنا القانون بذلك.
متى تستحق المكافأة
يُعدّ البلاغ مؤهّلًا حين:
- تكون أول من يبلّغ عن الثغرة.
- ترفق إثباتًا عمليًا (Proof of Concept) أو خطوات واضحة لتكرارها.
- تمسّ نظامًا مشمولًا: ultaria.com ونطاقاته الفرعية، أو خدمة نشغّلها نحن.
- تكون قد التزمت بقواعد هذه الصفحة أثناء البحث.
- لا تكون قد نُشرت قبل أن نصلحها.
- يسمح لنا القانون بالدفع لك حيث تقيم.
مكافأة على قدر الخطورة
تُدفع المكافأة نقدًا أو رصيدًا على خدمات Ultaria، أيّهما تفضّل. بعد أن يتحقق خبراؤنا مما وجدت، نقترح مبلغًا يناسب خطورة الثغرة. وإن رأيته غير منصف، يقيّمه طرف ثالث مستقل نتفق عليه معًا.
الخطورة تحدّد القيمة
الثغرة التي تكشف بيانات العملاء أو تمنح تحكّمًا بنظام تُكافأ بأكثر من ثغرة محدودة الأثر.
الفضل لصاحبه
وبإذنك، نشكرك بالاسم في هذه الصفحة بعد أن يُنشر الإصلاح.
مكافأة واحدة لكل ثغرة
إن بلّغ أكثر من شخص عن الثغرة نفسها، فالمكافأة لأول بلاغ مكتمل.
رأي ثانٍ في القيمة
لم يُرضك المبلغ؟ نتفق معك على خبير أمني مستقل يراجع الثغرة ويقترح مكافأة منصفة، وندفع ما يقترحه.
خارج البرنامج
لا نكافئ على ما يلي، وقد لا نردّ على البلاغات المتعلقة به.
الهجوم على الناس والمباني
الهندسة الاجتماعية والـ Phishing، وأي اعتداء فعلي على المكاتب أو مراكز البيانات أو الأجهزة.
كل ما يعطّل الخدمة
هجمات حجب الخدمة (DoS)، والـ Brute Force بكل أشكاله، وتخمين أسماء المستخدمين به.
مخرجات أدوات الفحص
تقارير تولّدها أدوات آلية دون استغلال عملي مثبت.
برمجيات الآخرين وأنظمتهم
أخطاء في برمجيات طرف ثالث أو مفتوحة المصدر، ومنها WordPress وإضافاته، والتلاعب بما يُرسل إلى بوابات الدفع. بلّغ أصحابها عنها، وهذا ما نفعله نحن أيضًا. المصادر المفتوحة
مواقع عملائنا
المواقع والسيرفرات والتطبيقات التي يشغّلها عملاؤنا على منصتنا. هي ملك أصحابها، واختبارها يحتاج إلى إذنهم.
إعدادات لا تؤدي إلى ثغرة
غياب Security Headers أو Cookie Flags، والـ Clickjacking، وإعدادات SPF وDKIM وDMARC وSSL، وأرقام الإصدارات، وعرض محتويات المجلدات، وعناوين IP للسيرفرات، ما لم تؤدِّ مباشرة إلى ثغرة.
مشكلات ويب محدودة الأثر
Self-XSS، وCSRF بلا أثر حقيقي، وOpen Redirect، وحقن النصوص في صفحات الخطأ، وهجمات Homograph، ومشكلات الـ Cache، وأخطاء المتصفحات.
شؤون الحسابات
قواعد كلمات المرور، ومدة الجلسات، وقوة الـ CAPTCHA، وغياب Rate Limiting، وإعادة استخدام رموز التحقق، وكل ما يتطلب الوصول إلى جهاز الضحية.
اكتب بلاغًا نستطيع العمل عليه
- 1
قل ما وجدت
العنوان أو النظام المتأثر، ونوع الثغرة.
- 2
أرِنا كيف
خطوات نتبعها أو إثبات عملي. لقطات الشاشة أو فيديو قصير يختصران الطريق.
- 3
قل ما قد تفعله
ما الذي يستطيع مهاجم الوصول إليه أو تغييره.
- 4
اترك لنا وسيلة للتواصل
والاسم الذي تحب أن نشكرك به، إن أردت.
أرسل بلاغك من هنا
يصل مباشرة إلى فريق الأمن لدينا. تريد مشاركة لقطات شاشة أو فيديو؟ أرسل البلاغ أولًا وسنردّ عليك بطريقة آمنة لمشاركتها.
أسئلة الباحثين
كم تدفعون؟
القيمة بحسب الخطورة، لذلك لا ننشر جدولًا. تعرف المبلغ بعد أن يتحقق خبراؤنا من الثغرة، وإن لم توافق عليه يراجعه طرف ثالث مستقل نتفق عليه معًا ويحدّد مبلغًا منصفًا.
من هو الطرف الثالث المستقل؟
خبير أو شركة أمن معلومات لا يعمل لدى أيّ منا، نختاره معًا في كل حالة. يطّلع على البلاغ وعلى تقييمنا، ثم يقترح المكافأة.
متى تردّون؟
نسعى إلى تأكيد استلام بلاغك خلال ثلاثة أيام عمل، ونُبقيك على اطّلاع حتى يُنشر الإصلاح.
هل أستطيع نشر ما وجدت؟
نعم، بعد أن نؤكد الإصلاح. ويسرّنا أن نتفق معك على التوقيت والصياغة.
أنا عميل عندكم، فهل أبلّغ أيضًا؟
نعم. القواعد والمكافآت نفسها تسري عليك، والتبليغ عن ثغرة لا يُحسب على حسابك أبدًا.
وإن لم أكن متأكدًا أنها ثغرة؟
أرسلها على أي حال مع ما لاحظته. أن نقرأ عشرة بلاغات لا شيء فيها أهون علينا من أن يفوتنا واحد مهم.
Bug Bounty
وجدت شيئًا؟ أخبرنا قبل أي أحد.
اكتب إلى security (at) ultaria.com بالعربية أو الإنجليزية. نقرأ كل بلاغ.