الأمان · الإفصاح المسؤول

الأمان والإفصاح المسؤول

إذا اكتشفتم مشكلةً أمنيةً في hosn.om أو ضمن نطاق اختبارٍ تابعٍ لحصن ومصرّحٍ به صراحةً، فأرسلوا بلاغاً موجزاً عبر قناة التواصل العامة أدناه.

كيف تُبلِّغ

راسل info@hosn.om. يُرجى تضمين:

وصفٌ مختصر للمشكلة وأثرها
خطوات إعادة التنفيذ، أو دليلٌ بسيط (نصّ، صورة، أو مقطع فيديو قصير)
الرابط أو الطلب أو إصدار الجهاز المتأثّر
هل كان الاختبار مصرّحاً به، وما حدود ذلك التصريح

لا تُدرجوا بيانات عملاء أو بيانات اعتماد إنتاجية أو مفاتيح خاصة أو سجلات حساسة أخرى. وسنوفّر مسار نقلٍ أكثر أماناً إذا لزم للتحقق.

كيف تُعالج البلاغات

يُراجع البلاغ وفق النطاق المعلن ودليل إعادة التنفيذ.
قد نطلب توضيحاً أو دليلاً مصغراً لا يكشف بيانات حقيقية.
تُرتب المشكلات المتحققة بحسب الأثر وحدود التسليم المتأثرة.
يُنسّق توقيت الإفصاح بعد فهم مسار المعالجة.

النطاق

ضمن النطاق:

موقع hosn.om العام
نقطة نموذج التواصل عند /api/contact
أيّ بيئة اختبار مذكورة صراحةً في تصريحكم المكتوب

خارج النطاق:

بنية الأطراف الثالثة غير المذكورة في نطاق الاختبار المكتوب
الثغرات التي تستلزم وصولاً فعلياً خارج نطاق اختبارٍ مأذونٍ به
قضايا في النماذج مفتوحة الأوزان أو مكتباتٍ ثالثةٍ مفصحٌ عنها علناً مسبقاً
ملاحظات الممارسات الفُضلى (رؤوس HTTP أمنية ناقصة، إعدادات TLS بسيطة) دون استغلالٍ قابلٍ للإثبات

السجلّ الآلي

الملف القياسي وفق RFC 9116 موجود في ‎/.well-known/security.txt‏. هذا ما تقرأه أدوات المسح الآلي ومنصّات مكافآت الثغرات.

طُرق تواصلٍ أخرى

لاستفسارات الخصوصية أو الاستفسارات التجارية، استخدموا info@hosn.om أو +968 9889 9100.

حدود أمانٍ خاصة بكل تكوين

لا يمكن لصفحة عامة تحديد الضوابط المنفذة لكل نشر. وتُراجع حدود الأمان خلال الاستكشاف وتُوثّق في نطاق التسليم الخاص بالمؤسسة.

حدود الشبكة. تُوثّق المسارات المطلوبة وخيار العزل الكامل قبل التنفيذ.
الهوية. تُحدّد الأدوار المحلية وأي تكاملٍ مع الدليل في النطاق المعتمد.
السجلات. تُتفق الأحداث والاحتفاظ والوصول ومتطلبات التصدير مع المؤسسة.
التحديثات. تتبع آلية التحديث والتحقق حدود التشغيل المختارة.
القبول. تُختبر ضوابط الأمان وفق معايير مكتوبة للتسليم.

الجدول الزمني للإفصاح المنسّق

يعتمد التوقيت على إمكان إعادة المشكلة وخطورتها والحدود المتأثرة ومسار المعالجة. ويُرجى إتاحة التنسيق قبل الإفصاح العام حتى يمكن التحقق من المشكلة وحماية الأطراف المتأثرة.

إن كنتم تختبرون نيابةً عن عميل

الجهاز القائم داخل مؤسسةٍ هو ملك تلك المؤسسة، وإذنها هو ما يجعل الاختبار مصرّحاً به لا إذننا نحن. فإن كان لديكم تكليف اختبارٍ من أحد عملاء حصن، فاذكروا ذلك في البلاغ، وسننسّق معهم مباشرةً بدل أن نطلب منكم أن تكونوا الوسيط. وتُشارَك النتائج المتعلّقة بتركيب عميلٍ مع ذلك العميل بحكم الأصل.

للاستزادة

→ العودة إلى hosn.om سياسة التحرير والتصحيحات