افشای هماهنگ آسیب‌پذیری
گزارش مسئولانهٔ آسیب‌پذیری‌های امنیتی
آخرین به‌روزرسانی: ۱۲ نوامبر ۲۰۲۶
گزارش‌دادن
لطفاً به security@lera.link ایمیلی بفرستید شامل شرحی کوتاه، نشانی اینترنتی (URL) یا مؤلفهٔ متأثر، مراحل بازتولید، اثر مورد انتظار و شواهدی کافی برای اعتبارسنجی. می‌توانید از نام مستعار استفاده کنید و روشی امن برای پاسخ‌گویی به خود ارائه دهید. کدهای ورود، توکن‌های نشست یا رونوشت دادهٔ شخصی دیگران را در ایمیل عادی قرار ندهید. درخواست مجرای ارتباطی رمزگذاری‌شده را می‌توان به همین نشانی فرستاد.
مرزهای پژوهش ایمن
فقط آنچه را برای نشان‌دادن مشکل لازم است آزمایش کنید، ترجیحاً در حساب کاربری خودتان یا در محیط آزمایشی. اگر با دادهٔ شخص دیگری روبه‌رو شدید، بی‌درنگ متوقف شوید. دادهٔ اشخاص ثالث را خارج نکنید، تغییر ندهید، نگه ندارید یا منتشر نکنید؛ ماندگاری (persistence) یا بدافزار وارد نکنید؛ به نفوذ فیزیکی، فیشینگ، مهندسی اجتماعی، حملهٔ منع خدمت یا آزمایش مخرب دست نزنید؛ و از پویش خودکار پرحجمی که بر دسترس‌پذیری اثر بگذارد استفاده نکنید. از خدمات اشخاص ثالثی که در مالکیت یا بهره‌برداری لرالینک نیستند دوری کنید.
دامنهٔ شمول و اشخاص ثالث
دامنهٔ مورد نظر شامل خدمات تحت بهره‌برداری لرالینک روی lera.link و زیردامنه‌های آن، رابط‌های برنامه‌نویسی (API) و زیرساخت مربوط تحت کنترل لرالینک، و نرم‌افزار لرالینک که نصب‌های میزبانی‌شدهٔ مستأجران را ارائه می‌کند است. دامنه‌های متعلق به مشتری تنها در خصوص مؤلفه‌های نرم‌افزاری تحت کنترل لرالینک ممکن است در دامنهٔ شمول باشند، نه خدمات مستقل مشتری یا اشخاص ثالث. یک دامنهٔ سفارشی مجوزی برای آزمایش دیگر سامانه‌های مستأجر نیست. در صورت تردید، پیش از آزمایش بپرسید.
رسیدگی به گزارش‌ها
هدف ما این است که دریافت گزارش‌های قابل‌اقدام را به‌سرعت تأیید کنیم، شدت آن‌ها را ارزیابی کنیم و برای اصلاح و افشا جدول زمانی مناسبی را هماهنگ کنیم. توافق‌نامهٔ سطح خدمت (SLA) دقیقی برای زمان پاسخ یا زمان رفع، از طریق این سیاست عمومی ارائه نمی‌شود. در موارد مفید ممکن است جزئیات بیشتری درخواست کنیم، با رضایت پژوهشگر از او قدردانی کنیم یا دربارهٔ تاریخ مسئولانهٔ افشای عمومی گفت‌وگو کنیم. هیچ پاداش یا جایزه‌ای وعده داده نمی‌شود.
پژوهش با حسن نیت
در مورد پژوهشی که با حسن نیت و در چارچوب این سیاست انجام شود، قصد نداریم صرفاً به سبب پژوهش مجاز آسیب‌پذیری، دعوای مدنی اقامه کنیم یا شکایت کیفری طرح کنیم. این امر مصونیت حقوقی نمی‌دهد، اشخاص ثالث یا مقامات را متعهد نمی‌کند و اعمال غیرقانونی را مجاز نمی‌سازد. اگر فعالیت شما از دامنهٔ شمول خارج شد، متوقف شوید و با ما تماس بگیرید. هر دادهٔ شخصی که سهواً به آن دسترسی یافته‌اید باید به‌طور ایمن حذف شود، با رعایت دستورهای قانونی دربارهٔ نگهداری.
هماهنگی افشا
لطفاً پیش از افشای عمومی جزئیات قابل‌بهره‌برداری، فرصتی معقول برای بررسی و رفع به ما بدهید. این سیاست از رویهٔ افشای هماهنگ آسیب‌پذیری در هلند الهام گرفته است. تماس: security@lera.link. هر نشانی لرالینک، از جمله نشانی‌های نصب‌های میزبانی‌شده، یک فایل ماشین‌خوان /.well-known/security.txt منتشر می‌کند که این نشانی تماس و زبان‌هایی را که می‌خوانیم (انگلیسی و هلندی) نام می‌برد.