אבטחה וגילוי אחראי

1. דיווח על חולשה

אם נראה לכם שמצאתם חולשת אבטחה ב-Manatu, כתבו ל-support@telluric.solutions עם המילה "Security" בנושא. ציינו:

• הכתובת, נקודת הקצה, או גרסת הווידג׳ט או התוסף שנפגעו;
• שלבים ברורים לשחזור, ומה תוקף יכול להשיג;
• הוכחת היתכנות, צילומי מסך או יומנים (הסירו מהם מידע של אחרים);
• איך אפשר ליצור איתכם קשר, והאם תרצו קרדיט.

אנחנו מקבלים דיווחים בעברית או באנגלית. פרטי הקשר לאבטחה מתפרסמים גם בכתובת https://manatu.contact/.well-known/security.txt.

2. מה אנחנו מתחייבים

• נאשר את קבלת הדיווח בתוך 3 ימי עבודה ונעדכן אתכם בהמשך.
• אנחנו שואפים לתקן בעיות קריטיות בתוך 7 ימים ואחרות בתוך 90 יום.
• נציין את שמכם כשהתיקון ישוחרר, אם תרצו.
• אם תפעלו לפי מדיניות זו בתום לב, לא ננקוט נגדכם הליכים משפטיים בגלל המחקר, ונראה בו מחקר מורשה.

3. כללים למחקר

• בדקו רק עם חשבונות ואפליקציות שבבעלותכם או שקיבלתם רשות להשתמש בהם. צרו אפליקציית בדיקה משלכם; אל תשתמשו באפליקציות או במידע של אחרים.
• אל תגשו למידע שאינו שלכם, ואל תשנו או תמחקו אותו. אם הגעתם בטעות למידע של אחרים, עצרו, אל תשמרו אותו ודווחו לנו.
• בלי מניעת שירות, בדיקות עומס, דואר זבל, הנדסה חברתית, דיוג או תקיפות פיזיות.
• אל תפעילו סורקים אוטומטיים בהיקף שפוגע בשירות.
• תנו לנו זמן סביר לתקן את הבעיה לפני שאתם מספרים עליה לאחרים.

4. תחום

בתחום: https://manatu.contact והנתיבים שתחתיו (אפליקציית הרשת, ה-API, שרת ה-MCP, הווידג׳ט), והתוסף של Manatu ל-Chrome.

מחוץ לתחום: אתרים של בעלי אפליקציות שמטמיעים את הווידג׳ט; שירותי צד שלישי (אירוח, Amazon SES, Google); דיווחים בלי השפעה מוכחת על האבטחה, כמו היעדר כותרות מומלצות בלבד, clickjacking בדפים בלי פעולות רגישות, או self-XSS.