Güvenlik Açığı Açıklama Politikası

1. Giriş

Waldo Studio BV, Century'yi ve kullanıcılarını korumaya yardımcı olan iyi niyetli güvenlik araştırmalarını memnuniyetle karşılar. Bu politika, hangi varlıkların test edilebileceğini, zararın nasıl önlenebileceğini, bir rapora nelerin dahil edileceğini ve Waldo Studio BV'nin yasal işlem başlatmayacağı güvenli liman koşullarını açıklamaktadır.

2. Kapsam dahilindeki öğeler

https://joincentury.app ve bu alan adından sunulan birinci taraf API yolları.

Eski Centuryai.app ana bilgisayar adı, yalnızca birinci taraf Century uç noktasına yönlendirdiği veya hizmet verdiği yerde.

Century'nin com.waldostudiobv.century paket tanımlayıcısına sahip, halka açık iOS uygulaması.

Century'nin com.waldostudiobv.century paket tanımlayıcısına sahip, halka açık Android uygulaması.

Yalnızca yukarıda açıkça listelenen varlıklara izin verilir. Google, Supabase, Hetzner, Disco, Mapbox, PostHog, RevenueCat, Apple, Garmin gibi üçüncü taraf hizmetler ve bunların altyapıları kapsam dahilinde değildir ve politikası kapsamında ilgili sağlayıcıya bildirilmelidir.

3. Araştırma yönergeleri

Test etmek için sahip olduğunuz veya açık izne sahip olduğunuz hesapları ve verileri kullanın. Başka bir kullanıcının hesabına veya verilerine erişmeyin. Bir güvenlik açığını göstermek için gereken minimum etkileşimi kullanın. Kalıcılık oluşturmayın, başka bir sisteme geçmeyin, veri sızdırmayın veya üretim kayıtlarını kendi test verilerinizin ötesinde değiştirmeyin.

Kişisel veriler, sağlık verileri, kimlik bilgileri, jetonlar, sırlar, özel kaynak kodu veya finansal bilgilerle karşılaşırsanız derhal durun ve bize bildirin. Saklamayın veya ifşa etmeyin.

Gizlilik ihlallerinden, hizmetin bozulmasından, aşırı otomatik isteklerden ve kullanıcıları veya üretim kullanılabilirliğini etkileyebilecek eylemlerden kaçının.

Waldo Studio BV'nin onu araştırmak ve düzeltmek için makul bir fırsatı olana ve siz açıklama zamanlamasını bizimle koordine edene kadar bir güvenlik açığını kamuya açıklamayın.

Açık bir güvenlik etkisi olmaksızın büyük miktarlarda düşük kaliteli, mükerrer, tamamen teorik veya yalnızca tarayıcıya yönelik raporlar göndermeyin.

4. Yasaklanan testler

Hizmet reddi, dağıtılmış hizmet reddi, trafik akışı, kaynak tüketimi veya stres testi gerçekleştirmeyin.

Çalışanlara, yüklenicilere, müşterilere veya destek kanallarına yönelik sosyal mühendislik, kimlik avı, vishing, kimliğe bürünme veya test yapmayın.

Fiziksel güvenlik testleri, kötü amaçlı yazılım veya yıkıcı yük testi, kalıcılık, kimlik bilgileri doldurma, parola püskürtme, kaba kuvvet saldırıları, toplu hesap oluşturma, spam, ödeme sahtekarlığı veya uygulama mağazası veya sağlayıcı sistemlerine müdahale yapmayın.

Üçüncü taraf altyapısını test etmeyin veya size ait olmayan verilere erişmeyin, bunları değiştirmeyin, silmeyin, indirmeyin veya yayınlamayın.

5. Güvenlik açığını bildirme

Raporları İngilizce olarak sander@waldo.studio adresine gönderin. Net bir açıklama ve potansiyel etki ekleyin; etkilenen URL, uygulama sürümü, API yolu veya bileşen; yalnızca kendi test verilerinizi kullanarak çoğaltma adımları; sterilize edilmiş ekran görüntüleri, günlükler veya minimum kavram kanıtı; gerekli kullanım koşulları; önerilen iyileştirme; ve tercih ettiğiniz isim ve iletişim bilgileriniz veya raporun anonim olduğunu belirtin.

6. Yanıt taahhüdümüz

Tam bir raporu üç iş günü içinde onaylamayı hedefliyoruz. İrtibat bilgileri sağlandığında durumu araştıracağız, ciddiyetini doğrulayacağız ve bildirimi yapan kişiyi makul düzeyde bilgilendireceğiz.

Düzeltme zamanlaması ciddiyete, karmaşıklığa, kullanıcı etkisine, sağlayıcı bağımlılıklarına ve güvenli sürüm gereksinimlerine bağlıdır. Uygun olduğunda kamuya açıklamayı koordine edeceğiz. Şu anda parasal bir hata ödül programı yürütmüyoruz ve herhangi bir ödül sözü verilmiyor.

7. Güvenli liman

Araştırma iyi niyetle ve bu politikaya uygun olarak yürütüldüğünde Waldo Studio BV, araştırmanın yetkili olduğunu kabul eder ve yalnızca söz konusu araştırma için yasal işlem başlatmaz. Üçüncü bir tarafın yasal işlem başlatması durumunda araştırmanın bu politika kapsamında yapıldığını belirtebiliriz. Bu güvenli liman, yasa ihlallerine, üçüncü taraf haklarına, mahremiyete, sözleşmeye bağlı yükümlülüklere veya listelenen kapsamın dışındaki faaliyetlere izin vermez.

8. Gizlilik ve açıklama

Muhabirler, kamuya açıklanmayan tüm bilgileri gizli tutmalı ve istendiğinde veya koordineli iyileştirme için artık ihtiyaç kalmadığında bunları güvenli bir şekilde silmeli. Waldo Studio BV, araştırmak, düzeltmek veya yasal yükümlülükleri yerine getirmek için gerektiğinde etkilenen hizmet sağlayıcılarla, profesyonel danışmanlarla, sigortacılarla, düzenleyicilerle veya kolluk kuvvetleriyle bir rapor paylaşabilir.

9. Sorular ve politika güncellemeleri

Bir etkinliğe izin verilip verilmediğinden emin değilseniz test etmeden önce sander@waldo.studio ile iletişime geçin. Waldo Studio BV, Century'nin sistemleri ve risk profili geliştikçe bu politikayı güncelleyebilir. Yukarıdaki versiyon ve yürürlük tarihi geçerli revizyonu tanımlar. Sonraki inceleme: 28 Ağustos 2027.