Sorumlu açıklama
corrplus.net veya Corrplus ürünlerinde bir güvenlik açığı bulduysanız lütfen security@corrplus.net adresine bildirin. Bu politika neyin kapsamda olduğunu, test yaparken uymanızı istediğimiz kuralları ve iyi niyetle hareket eden araştırmacılara karşı hukuki yola başvurmama taahhüdümüzü anlatır. Ödül programımız yoktur; her bildirimi ciddiye alır ve sonucunu sizinle paylaşırız.
Açığı nasıl bildirirsiniz?
Bildiriminizi security@corrplus.net adresine gönderin. İyi bir bildirimde şunlar bulunur:
- Etkilenen alan adı, adres veya bileşen.
- Açığın türü ve olası etkisi.
- Açığı yeniden üretmek için adım adım talimat, varsa ekran görüntüsü veya kavram kanıtı.
- Size ulaşabileceğimiz bir e-posta adresi.
Bildiriminizi Türkçe veya İngilizce yazabilirsiniz. Lütfen açığı biz düzeltene kadar başkalarıyla paylaşmayın.
Hangi sistemler kapsamda?
| Kapsamda | Kapsam dışında |
|---|---|
| corrplus.net | Vercel, Cloudflare, Google, Resend, WhatsApp gibi üçüncü taraf hizmetlerin kendisi |
| freelancerflowai.com ve FreelancerFlow iOS uygulaması | Hizmet engelleme (DoS/DDoS) ve yük testleri |
| promptorai.com ve Promptor WordPress eklentisi | Sosyal mühendislik, oltalama ve fiziksel erişim denemeleri |
| okey101cetele.com | Gerçekçi bir etkisi gösterilmeyen eksik HTTP başlıkları veya sürüm bilgisi |
| villayonet.com | Müşterilerimizin kendi sistemleri ve web siteleri |
Üçüncü taraf bir hizmette açık bulursanız lütfen doğrudan o sağlayıcıya bildirin. Müşterilerimiz için geliştirdiğimiz bir sistemde açık fark ederseniz bize yazabilirsiniz; bildiriminizi müşterinin onayıyla ilgili ekibe iletiriz.
Test yaparken hangi kurallara uymalısınız?
- Yalnız size ait hesap ve verilerle test edin. Başkasının verisine eriştiğinizi fark ederseniz durun, veriyi saklamayın ve bize bildirin.
- Veri silmeyin, değiştirmeyin, dışarı çıkarmayın.
- Hizmetlerin çalışmasını bozacak veya diğer kullanıcıları etkileyecek işlem yapmayın.
- Otomatik tarayıcıları, siteyi yormayacak düşük hızda kullanın.
- Açığı, varlığını göstermek için gereken ölçünün ötesinde kullanmayın.
İyi niyetli araştırmacılara güvencemiz nedir?
Bu politikaya uygun ve iyi niyetle yapılan güvenlik araştırmasını yetkili kabul ederiz. Bu kurallara uyduğunuz sürece size karşı hukuki yola başvurmayız ve kolluk kuvvetlerine şikâyette bulunmayız. Bir üçüncü taraf, kurallara uygun araştırmanız nedeniyle size karşı işlem başlatırsa, araştırmanızın bu politikaya uygun olduğunu açıkça belirtiriz. Bu güvence üçüncü tarafları bağlamaz. Bir testin kapsamda olup olmadığından emin değilseniz önce security@corrplus.net adresine sorun.
Bildirimden sonra ne olur?
Bildiriminizi aldığımızı teyit eder, açığı doğrular ve önem derecesine göre düzeltmeyi planlarız. Süreç boyunca sizi bilgilendiririz ve düzeltme yayına girince haber veririz. Açığı kamuya açıklamak isterseniz zamanlamayı bizimle birlikte belirleyin.
Ödül var mı?
Hayır. Corrplus’ın ücretli bir hata ödül (bug bounty) programı yoktur. Bildirim göndermek, ödeme veya başka bir karşılık hakkı doğurmaz.