سياسة الإفصاح عن الثغرات الأمنية

الإصدا1.1 · تاريخ النفاذ: 14 أكتوبر 2026 · آخر تحديث: 11 أكتوبر 2026

هذه الترجمة مقدَّمة لأغراض إعلامية وتيسيرية. النسخة الإنجليزية من هذا المستند وحدها هي التي لها قوة قانونية؛ وفي حال وجود اختلاف أو غموض أو تعارض، يُعتدّ بالنص الإنجليزي.

نرحّب بالبلاغات المقدَّمة من الباحثين الأمنيين. إذا كنتم تعتقدون أنكم عثرتم على ثغرة أمنية في LiKE، فيُرجى إبلاغنا بذلك.

طريقة الإبلاغ

أرسلوا بريدًا إلكترونيًا إلى [email protected]، بمعدّل رسالة واحدة لكل مشكلة، باللغة الإنجليزية أو الروسية، على أن يتضمّن ما يلي:

وصفًا للمشكلة وأثرها؛
خطوات إعادة إنتاجها (يفيد مقطع فيديو قصير أو لقطات شاشة)؛
عنوان URL أو نقطة النهاية (endpoint) المتأثرة؛
اسمكم أو اسمكم المستعار، إذا كنتم ترغبون في إدراج اسمكم في هذه الصفحة.

يُرجى عدم تضمين البيانات الشخصية لأشخاص آخرين في بلاغكم.

نراجع جميع البلاغات التي نتلقاها. ويجوز لنا التواصل معكم إذا احتجنا إلى مزيد من المعلومات.

أكثر ما يهمّنا

الوصول إلى البيانات في مساحة عمل أو مؤسسة تخص عميلًا آخر؛
تجاوز المصادقة أو الاستيلاء على حساب مستخدم آخر؛
ثغرات التفويض في واجهة API الخاصة بنا؛
دفع ميزات الذكاء الاصطناعي لدينا إلى كشف بيانات من مساحة عمل لا تملكون صلاحية الوصول إليها.

النطاق

ضمن النطاق: lynkora.pro ونطاقاته الفرعية التي تشغّلها Lynkora، بما في ذلك مساحات عمل العملاء (*.lynkora.pro)، وواجهة API الخاصة بنا.

خارج النطاق: خدمات الأطراف الثالثة التي نستخدمها (على سبيل المثال، مزوّدو خدمات إتمام الدفع وتسليم البريد الإلكتروني)، وأي نظام لا تشغّله Lynkora.

القواعد

لا تُجروا الاختبار إلا باستخدام حسابات ومساحات عمل تملكونها. سجّلوا حسابكم الخاص على lynkora.pro لأغراض الاختبار.
لمساعدتنا على تمييز اختباراتكم عن النشاط الحقيقي، يُرجى التسجيل بإضافة الوسم +security إلى عنوان بريدكم الإلكتروني إذا كان مزوّد البريد لديكم يدعم ذلك (على سبيل المثال، [email protected] — إذ تظل الرسائل تصل إلى صندوق الوارد المعتاد لديكم)، وتضمين "test" في اسم مساحة العمل. ويُرجى حذف حسابات الاختبار عند الانتهاء.
لا تصلوا إلى البيانات العائدة لآخرين ولا تعدّلوها ولا تحذفوها. وإذا وصلتم إلى بيانات شخص آخر عن طريق الخطأ، فتوقّفوا، ولا تحتفظوا بنسخة منها، وأبلغونا بذلك.
لا تُجروا هجمات القوة الغاشمة (brute-force) على كلمات المرور، ولا تستخدموا بيانات اعتماد مسرّبة، ولا تُنشئوا أكثر من بضعة حسابات.
عند اختبار حدود معدّل الطلبات (rate limits)، لا ترسلوا أكثر من 10 طلبات. فهذا يكفي لإثبات المشكلة.
لا تُجروا هجمات حجب الخدمة (DoS) أو اختبارات التحميل، ولا عمليات الفحص الآلي بكثافة عالية، ولا الهندسة الاجتماعية، ولا التصيّد الاحتيالي، ولا الهجمات المادية.
لا تُجروا مدفوعات حقيقية أو احتيالية.
لا تُفصحوا عن المشكلة علنًا قبل أن نصدر إصلاحًا (مدة عدم إفصاح 90 يومًا).

البلاغات غير المقبولة

لا نقبل البلاغات المتعلقة بما يلي:

المشكلات المعروفة لنا مسبقًا أو التي سبق الإبلاغ عنها؛
المشكلات النظرية دون إثبات مفهوم (proof of concept)؛
مخرجات أدوات الفحص الآلي دون أثر مُثبَت؛
غياب ترويسات الأمان (security headers) أو علامات ملفات تعريف الارتباط (cookie flags) دون هجوم فعّال؛
اختطاف النقرات (clickjacking) في صفحات لا تتضمن إجراءات حساسة؛
إعدادات SPF أو DKIM أو DMARC؛
حجب الخدمة (DoS) أو اختبارات التحميل أو حدود معدّل الطلبات على نقاط نهاية غير مخصّصة للمصادقة؛
الهندسة الاجتماعية أو الهجمات المادية؛
تعداد الحسابات أو عناوين البريد الإلكتروني (enumeration)؛
سياسة كلمات المرور (الطول أو التعقيد)؛
الكشف عن إصدارات البرمجيات أو التقاط الشعارات (banner grabbing) أو صفحات الأخطاء المفصّلة دون بيانات حساسة؛
المشكلات التي تتطلب جهازًا مُخترَقًا أو وضعية man-in-the-middle (هجوم الوسيط) أو تفاعلًا غير مرجّح من المستخدم؛
self-XSS، أو CSRF عند تسجيل الخروج، أو CSRF في نماذج لا تتضمن إجراءات حساسة؛
طرق تجاوز حدود الخطة (على سبيل المثال، حدود AI tokens أو المقاعد) دون الوصول إلى بيانات عملاء آخرين؛
سلوك نموذج الذكاء الاصطناعي، مثل jailbreaking (كسر القيود) أو prompt injection (حقن التعليمات) أو الإجابات غير الدقيقة، ما لم يكشف بيانات من مساحة عمل لا تملكون صلاحية الوصول إليها.

المكافآت

لا ندير برنامج bug bounty (مكافآت اكتشاف الثغرات) مدفوع الأجر، ولا ندفع مقابل البلاغات. وبموافقتكم، يجوز لنا إدراج اسمكم في هذه الصفحة عن النتائج الصحيحة الواقعة ضمن النطاق بعد إصلاحها.

حسن النية

نعدّ الأبحاث التي تُجرى بحسن نية ووفقًا لهذه القواعد أبحاثًا مُصرَّحًا بها.

الشكر والتقدير

نشكر الباحثين التالية أسماؤهم على إبلاغهم المسؤول عن المشكلات:

(لا أحد حتى الآن)

---

يجوز لنا تحديث هذه السياسة من وقت لآخر.