باگ بانتی تی‌جی گیفت
امنیت کاربرها و زیرساخت تی‌جی گیفت برای ما یه شوخی نیست. با اینکه همیشه تلاش می‌کنیم سیستم‌هامون امن باشن، هیچ سیستمی صد در صد بی‌نقص نیست؛ اگه شما به‌عنوان یه پژوهشگر امنیتی یا کاربر فنی، به یه مشکل امنیتی توی سایت یا زیرساخت ما برخوردید، دوست داریم اولین نفری باشیم که بهش خبر می‌دید، نه آخرین. این صفحه دقیقاً برای همینه: می‌خوایم بگیم چطور یه آسیب‌پذیری رو مسئولانه گزارش بدید و در ازاش چه انتظاری از ما می‌تونید داشته باشید.
ممکنه هر از گاهی این سیاست رو به‌روزرسانی کنیم. مثل صفحه‌ی قوانین و حریم خصوصی، آخرین نسخه‌ی همیشه همین صفحه‌ست و همون ملاک عمل هستش.
محدوده‌ی این برنامه
این سیاست، گزارش آسیب‌پذیری‌های امنیتی توی موارد زیر رو شامل می‌شه:
- وب‌سایت اصلی تی‌جی گیفت (صفحات و فرآیند خرید)
- زیرساخت و APIهایی که مستقیماً توسط ما مدیریت می‌شن (از جمله نحوه‌ی تعامل سایت با Supabase)
اگه به سرویس یا اپلیکیشن جدیدی اضافه بشه، همین‌جا به‌روزرسانیش می‌کنیم.
پیش از ارسال گزارش
لطفاً قبل از فرستادن گزارش، این چند مورد رو چک کنید:
- مشکل روی نسخه‌ی اصلی و زنده‌ی سایت (نه یه نسخه‌ی تست یا لوکال) قابل تکرار باشه
- یه اثبات عملی (Proof of Concept) واقعی و قابل تکرار برای مشکل داشته باشید
- موردتون توی لیست «خارج از محدوده» که پایین‌تر آورده‌ایم نباشه
چطور یه آسیب‌پذیری رو گزارش بدید؟
۱. ارتباط: یافته‌هاتون رو به ایمیل info@tggift.ir بفرستید. این ایمیل فقط مخصوص گزارش‌های امنیتیه، نه پشتیبانی عمومی.
۲. موضوع مشخص: برای ایمیلتون یه موضوع کوتاه و گویا بذارید (مثلاً «آسیب‌پذیری XSS در صفحه‌ی پرداخت»)، نه چیزی کلی مثل «مشکل امنیتی».
۳. اثبات عملی: مراحل بازتولید مشکل رو قدم‌به‌قدم بنویسید، آدرس(های) دقیق تحت‌تأثیر رو بگید، و اگه امکانش هست اسکرین‌شات یا ویدیو ضمیمه کنید. هرچی توضیح دقیق‌تر باشه، سریع‌تر می‌تونیم بررسیش کنیم.
۴. یه مورد در هر ایمیل: اگه چند تا مشکل جدا از هم پیدا کردید، هرکدوم رو توی یه ایمیل جداگانه بفرستید تا گم نشن.
۵. بدون سوءاستفاده: لطفاً از آسیب‌پذیری برای دسترسی به داده‌ای که مال شما نیست استفاده نکنید، و داده‌ای رو دانلود یا تغییر ندید فقط برای اثبات مشکل.
۶. محرمانه نگه‌دارید: تا وقتی مشکل رو حل نکردیم، لطفاً جزئیاتش رو جایی دیگه (شبکه‌های اجتماعی، فوروم و غیره) منتشر نکنید.
تعهد ما به شما
مصونیت قانونی: اگه طبق همین راهنما عمل کنید، رفتارتون رو مسئولانه در نظر می‌گیریم و به‌خاطر گزارشی که دادید، پیگرد قانونی علیه‌تون انجام نمی‌دیم.
تأیید دریافت: تلاش می‌کنیم دریافت گزارشتون رو در سریع‌ترین زمان ممکن تأیید کنیم.
بررسی و بازخورد: گزارشتون رو بررسی می‌کنیم و یه بازه‌ی زمانی تقریبی برای رفعش بهتون می‌گیم.
محرمانگی: با گزارشتون محرمانه رفتار می‌شه و اطلاعات شخصی‌تون رو بدون رضایتتون جایی به اشتراک نمی‌ذاریم، مگر اینکه قانوناً ملزم بشیم.
به‌روزرسانی مداوم: در طول فرآیند رفع مشکل، وضعیتش رو بهتون اطلاع می‌دیم.
قدردانی: از وقتی که برای امن‌تر کردن تی‌جی گیفت گذاشتید ممنونیم. برای آسیب‌پذیری‌های با سطح بالا و بحرانی، بسته به شدت مشکل، اعتبار به کیف پول شما در تی‌جی گیفت اضافه می‌شه که باهاش می‌تونید از هر کدوم از محصولات سایت خرید کنید. در مواردی که مشکل به‌شدت حاد باشه، ممکنه علاوه بر این، به‌صورت نقدی هم ازتون قدردانی بشه. برای موارد کوچیک‌تر (سطح متوسط و پایین) هم، در صورت تمایلتون، ازتون توی سایت تشکر می‌کنیم.
مواردی که خارج از این برنامه هستن
موارد زیر معمولاً پذیرفته نمی‌شن:
- مشکلاتی که ریشه‌شون توی سرویس‌های شخص ثالثه (مثل درگاه پرداخت زرین‌پال)
- مشکلات ظاهری یا تجربه‌ی کاربری (مثل غلط املایی یا ناهماهنگی در طراحی)
- گزارش‌هایی که فقط حاصل یه ابزار خودکارن و بدون بررسی دستی تأیید نشدن
- آسیب‌پذیری‌هایی که نیاز به دسترسی فیزیکی به دستگاه یه کاربر دارن
- تلاش‌های مهندسی اجتماعی روی تیم یا کاربران تی‌جی گیفت
- مشکلاتی که فقط با اقدام خود کاربر (مثل فیشینگ) رخ می‌دن
- هدرهای امنیتی گم‌شده که به‌تنهایی به یه آسیب‌پذیری واقعی منجر نمی‌شن
- افشای اطلاعاتی که شامل داده‌ی حساس کاربر نمی‌شه
- حملات از نوع denial-of-service یا هر تلاشی برای مختل کردن دسترسی به سرویس
- پیشنهاد درباره‌ی سیاست رمز عبور، بدون اثبات آسیب‌پذیری واقعی
- گزارش‌هایی که قبلاً توسط شخص دیگه‌ای ارسال شده
گزارش‌های غیرقابل بررسی
موارد زیر بررسی نمی‌شن:
- گزارش بدون جزئیات فنی یا اثبات عملی
- ادعای کلی و مبهم درباره‌ی وجود یه مشکل امنیتی، بدون مدرک مشخص
- درخواست پول قبل از افشای جزئیات آسیب‌پذیری
سطح‌بندی شدت آسیب‌پذیری
بحرانی: دور زدن کامل ورود به حساب، اجرای کد دلخواه روی سرورهای اصلی، دسترسی مستقیم به پایگاه‌داده
بالا: افشای اطلاعات خصوصی کاربران، دستکاری موجودی کیف پول، تحویل محصول بدون پرداخت کامل
متوسط: آسیب‌پذیری‌های XSS یا CSRF غیرحساس، دور زدن محدودیت خرید
پایین: رفتار غیرمنتظره‌ی سیستم بدون افشای اطلاعات یا افزایش سطح دسترسی
نکته‌ی پایانی
هدف این برنامه، همکاری و بهتر شدن امنیت تی‌جی گیفته، و ممکنه هر از گاهی جزئیاتش تغییر کنه. هر فعالیت مخرب یا آزاردهنده، از هر جانبی، باعث می‌شه فرد از این برنامه و هرگونه قدردانی احتمالی محروم بشه.
از وقتی که برای امن‌تر کردن تی‌جی گیفت می‌ذارید، صمیمانه ممنونیم.