الأمان
سياسة الإبلاغ عن الثغرات الأمنية
إن اكتشفت خللاً أمنياً في EL7.AI فنحن نودّ أن نعرف به. تشرح هذه الصفحة كيفية الإبلاغ بدقّة، وما الذي نعدّه داخل النطاق، وما الذي يمكنك توقّعه منّا.
آخر تحديث: 2026-07-27
لا ندفع مكافآت مالية — لكنّنا نرحّب بالبلاغات
لا تُشغّل EL7.AI برنامج مكافآت مدفوعة عن اكتشاف الثغرات، ولا نقدّم مقابلاً مالياً للبلاغات. لكنّنا نُشغّل برنامج الإفصاح عن الثغرات هذا: أبلغنا بحسن نيّة عن خلل حقيقي، وسنُحقّق فيه ونُصلحه ونُبقيك على اطّلاع، وننسب الفضل إليك علناً إن رغبت في ذلك. نرجو عدم إرسال فاتورة أو طلب مقابل مالي لقاء تفاصيل الثغرة؛ فالبلاغ المشروط بالدفع سنتعامل معه بوصفه ابتزازاً لا بحثاً أمنياً.
كيفية الإبلاغ
أرسل إلينا رسالة بريد إلكتروني بالعربية أو الإنجليزية، وضمّنها تفاصيل كافية تُمكّن المهندس من إعادة إنتاج المشكلة دون تخمين.
نقرأ العربية والإنجليزية، وسنردّ باللغة التي تكتب بها. لا ندعم البلاغات المُعمّاة حتى الآن، فلا ترسل بيانات إثبات حسّاسة بصيغة مكشوفة؛ صِفها وسنتّفق معك على قناة آمنة.
ما الذي ينبغي تضمينه
- ما هي المشكلة — نوع الثغرة في جملة واحدة، مثل تجاوز المصادقة أو XSS المُخزّن أو IDOR.
- أين توجد — الرابط أو نقطة النهاية أو المُعامل بدقّة، مع بادئة اللغة، مثل /ar/dashboard.
- كيفية إعادة إنتاجها — خطوات مُرقّمة انطلاقاً من جلسة نظيفة، مع ذكر نوع الحساب الذي استخدمته.
- لماذا هي مهمّة — ما الذي يكسبه المهاجم فعلياً: أيّ بيانات، وبيانات مَن، وبأيّ حجم.
- الأدلّة — تسجيل قصير للشاشة أو صور، مع إخفاء أيّ بيانات حقيقية لأعضاء قد تكون اطّلعت عليها.
- كيفية الوصول إليك — وهل ترغب في نسب الفضل إليك بالاسم أم بالمعرّف.
ما الذي تتوقّعه منّا
هذه أهداف تُقاس من لحظة وصول بلاغك إلى security@el7.ai. نحن فريق صغير، ونُفضّل نشر أهداف صادقة على أهداف مُبهرة.
| المرحلة | المدّة المستهدفة |
|---|---|
| تأكيد استلام بلاغك | 3 أيّام عمل |
| تأكيد الثغرة أو رفضها مع التعليل | 10 أيّام عمل |
| إرسال تحديث إن طال الإصلاح | 14 يوماً (دورياً) |
| إصلاح الثغرات الحرجة المؤكّدة | 30 يوماً |
النطاق
داخل النطاق
- النطاقان el7.ai و www.el7.ai، بما يشمل جميع صفحات /ar/ و /en/
- نقاط الواجهة البرمجية العامّة تحت el7.ai/api
- المصادقة وإدارة الجلسات والتحكّم في صلاحيات مستويات الاشتراك
- مسارات الدفع والاشتراك والفوترة
- النطاقان storage.el7.ai و ws.el7.ai
خارج النطاق
- المخرجات الخام لأدوات الفحص الآلي دون إثبات عملي للاستغلال
- غياب ترويسات الأمان دون إثبات استغلال فعلي (HSTS و CSP و X-Frame-Options)
- هجمات تعطيل الخدمة أو اختبارات الحمل أو التخمين المتكرّر لكلمات المرور
- الهندسة الاجتماعية أو التصيّد أو الهجمات المادّية على أفراد فريقنا
- الهجمات التي تتطلّب وصولاً مادّياً إلى جهاز الضحية وهو غير مقفل
- ثغرات في خدمات الأطراف الثالثة التي نستهلكها؛ أبلغ مزوّدها مباشرة
- ثغرات Self-XSS أو ما يتطلّب من الضحية لصق شيفرة في وحدة التحكّم لديه
- غياب حدود المعدّل دون أثر عملي مُثبت
- ملاحظات إعدادات البريد (SPF و DKIM و DMARC) على نطاقات لا تُرسل بريداً
- إصدارات برمجية قديمة دون مسار استغلال مُثبت
إن لم تكن متأكّداً من كون المسألة داخل النطاق فأبلغنا بها واذكر أنّك غير متأكّد؛ فقراءة رسالة إضافية أهون علينا من تفويت ثغرة حقيقية. أمّا الإرسال الجماعي لمخرجات أدوات الفحص دون تحليل فسيُغلق دون ردّ مفصّل.
قواعد الاختبار
الاختبار الملتزم بهذه القواعد مُصرّح به، أمّا مخالفتها فتُسقط الحماية القانونية الموضّحة أدناه.
- 1استخدم أقلّ قدر من الوصول يكفي لإثبات الثغرة ثمّ توقّف، ولا تتوسّع في الاستكشاف بعد حصولك على إثبات عملي.
- 2لا تُنزّل بيانات الأعضاء أو تنسخها أو تحتفظ بها أو تُشاركها إطلاقاً. وإن اطّلعت على بيانات شخصية بالخطأ فتوقّف فوراً وأبلغنا واحذفها.
- 3اختبر فقط على حسابات تملكها أو لديك إذن صريح باستخدامها، ولا تمسّ حسابات الأعضاء الآخرين.
- 4لا تتوغّل إلى شبكتنا الداخلية أو خوادمنا أو مزوّدينا، ولا تُحاول تحويل خلل في الواجهة إلى وصول إلى البنية التحتية.
- 5امنحنا 90 يوماً لإصلاح الثغرة المؤكّدة قبل الإفصاح عنها علناً. لن نُلاحقك قضائياً على النشر بعد هذه المدّة، ويسعدنا الاتّفاق على موعد أبكر إن صدر الإصلاح قبلها.
- 6لا تُضعف خدمتنا، ولا تستخدم اكتشافك لانتزاع مقابل مالي، والتزم بالقوانين السارية؛ فلا شيء في هذه الصفحة يُصرّح بمخالفة القانون.
الحماية القانونية
إن بذلت جهداً بحسن نيّة للالتزام بهذه السياسة أثناء بحثك، فسنعدّ نشاطك مُصرّحاً به، ولن نتّخذ إجراءات قانونية ضدّك ولن ندعم اتّخاذها، وسنُساعد في توضيح أنّ ما قمت به جرى وفق هذه السياسة إن تقدّم طرف ثالث بشكوى.
تشمل هذه الحماية بحثك وحده. وهي لا تُسقط حقوق الأطراف الثالثة، ولا تسري إن خالفت قواعد الاختبار أعلاه، ولا تشمل إتلاف البيانات أو تعطيل الخدمة أو أيّ مطالبة بمقابل مالي. وإن ساورك شكّ في كون إجراء ما مُصرّحاً به فاسألنا قبل الإقدام عليه.
نسب الفضل
لا ندفع مقابلاً عن البلاغات، لكنّنا ننشر نسب الفضل. فإن أبلغت عن ثغرة صحيحة ورغبت في ذكرك، فأخبرنا بالاسم أو المعرّف الذي تُفضّله وسندرجه بعد صدور الإصلاح. وإن فضّلت البقاء مجهولاً فلا بأس، اذكر ذلك فحسب.
لأيّ أمر آخر
للاستفسارات غير الأمنية — كالفوترة أو الوصول إلى الحساب أو الدعم العام — يُرجى استخدام صفحة التواصل.