الأمان
وجدت مشكلة أمنية في نديمي؟ شكرًا لك. أخبرنا أولًا من فضلك، لنصلحها قبل أن يتضرر أحد.
كيف تبلّغ
راسل security@nadeemi.com واذكر:
- ما الذي وجدته وأين (رابط، أو شاشة، أو مسار في الواجهة البرمجية)،
- الخطوات لرؤيته مرة أخرى،
- ما الذي يستطيع المهاجم فعله به.
وإن احتجت إلى إرسال شيء حساس جدًا، فاطلب منا أولًا طريقة أكثر أمانًا. وملف التواصل المقروء آليًا موجود في /.well-known/security.txt.
ما نتعهد به
- نردّ خلال ٣ أيام عمل ونبقيك على اطلاع حتى يُصلَح الخلل.
- مهلة ٩٠ يومًا قبل النشر. امنحنا ٩٠ يومًا من تاريخ بلاغك قبل نشر التفاصيل. وإن أصلحنا الخلل قبل ذلك نتفق معك على موعد. وإن كان الناس في خطر الآن فقد نطلب منك الانتظار قليلًا، وسنخبرك بالسبب.
- لا إجراءات قانونية ضدك بسبب بحث بحسن نية يلتزم بالقواعد أدناه.
- الشكر العلني إن أردت: نذكر اسمك في هذه الصفحة.
- لا ندفع مكافآت مالية عن الثغرات بعد، وسنذكر ذلك هنا إن تغيّر.
قواعد الاختبار
- استخدم حسابات الاختبار الخاصة بك فقط. لا تقرأ بيانات الأعضاء الآخرين ولا تغيّرها ولا تحذفها. وإن وصلت إلى بيانات شخص آخر بالخطأ، فتوقف، ولا تحتفظ بنسخة، وأخبرنا.
- لا هجمات حجب الخدمة، ولا إغراق، ولا رسائل مزعجة، ولا اختبارات تبطئ الخدمة على الآخرين.
- لا هندسة اجتماعية ولا تصيّد موجّه إلى فريقنا أو أعضائنا، ولا هجمات مادية.
- لا تحاول كسر تشفير محادثات الآخرين.
ضمن النطاق: nadeemi.com، والتطبيق على nadeemi.com/app/، وواجهتنا البرمجية (/v1/). خارج النطاق: البلاغات الصادرة عن أدوات الفحص الآلي وحدها دون أثر حقيقي، وغياب ترويسات «أفضل الممارسات» دون هجوم ممكن، ومشكلات خدمات الشركات الأخرى (أخبرها مباشرة).
ما يحمي الأعضاء اليوم
- HTTPS في كل مكان، وقواعد صارمة لأمان المحتوى، وحدود للاستخدام.
- الرسائل الخاصة والمحادثات الجماعية والدوائر تُشفَّر على الجهاز ببروتوكول MLS. ومع ذلك نكتب عليها «التشفير التام قادم»: لم يراجع أي خبير مستقل تشفيرنا بعد.
- البريد الإلكتروني وتاريخ الميلاد مختومان على خوادمنا، وكلمات المرور لا تُحفظ إلا بصمات مملّحة ومُتبَّلة.
- تحديثات التطبيق موقّعة بمفتاح محفوظ بعيدًا عن خوادمنا، ومسجّلة في سجل عام (Sigsum). ويتحقق التطبيق المثبَّت منها ويبلّغ بالنتيجة؛ وسيأتي رفض التحديثات غير المتحقَّق منها بعد مزيد من الاختبار.
- مراجعة أمنية داخلية للكود. والمراجعة المستقلة مخطط لها لكنها لم تحدث بعد.
حدود صريحة: نديمي نسخة تجريبية. وتطبيق الويب يحمّل الكود من خادمنا، فعليك أن تثق بهذا الخادم. وإن كانت سلامتك تعتمد على ذلك، فلا تعتمد على نديمي بعد. اقرأ ما الذي نراه وما الذي لا نراه.
إن حدث خطأ
إن وقع حادث أمني يمسّ الأعضاء، ننشر تنبيهًا في صفحة حالة الخدمة وداخل التطبيق، ونخبر الأعضاء المتأثرين مباشرة، ونشرح ما حدث وما الذي غيّرناه.