Güvenlik ve sorumlu bildirim

CIQRA’da bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen önce bize gizli olarak bildirin. Bu sayfa bunu nasıl yapacağınızı ve sonrasında ne olacağını anlatır. Aynı adres security.txt dosyamızda (RFC 9116) da yayımlanmaktadır.

Güvenlik açığı bildirme

[email protected] adresine e-posta gönderin. Lütfen şunları ekleyin:

ne bulduğunuzu ve nerede bulduğunuzu (URL, uç nokta veya bileşen);
açığı yeniden üretme adımlarını;
açığın sizce etkisini;
size nasıl ulaşabileceğimizi.

Türkçe veya İngilizce yazabilirsiniz. Gerçek adınızı vermek zorunda değilsiniz, ancak iletişim bilgisi vermezseniz size yanıt veremeyiz ve adınızı teşekkür listesine ekleyemeyiz. Bildirime gerçek gizli anahtar, token veya bir mağazanın müşteri verisini koymayın: verinin türünü ve yerini yazmanız yeterli. Anahtarı biz yenileriz; kopyasına ihtiyacımız yok.

Kapsam

Kapsamda:

CIQRA platform API’si (api.ciqra.com), giriş (id.ciqra.com), mağaza yönetim paneli (admin.ciqra.com) ve bu sitede belgelenen App API.
*.myciqra.com vitrinleri, yalnızca test için kendi açtığınız mağazada veya geliştirme mağazasında.
Uygulama platformu: OAuth ve uygulama token’ları, scope’lar, webhook imzaları, iş ortağı URL’lerinin işlenmesi.
Tema ve şablon işleme (Liquid): sandbox dışına çıkma, kaynak tüketimi, mağazalar arası okuma.

Somut bir güvenlik etkisi gösterilmedikçe kapsam dışında:

bir mağazanın kendi bağlı alan adı (örneğin www.ornek-magaza.com): o alan adı mağazaya aittir;
entegre olduğumuz üçüncü taraf uygulama ve hizmetlerdeki açıklar (lütfen bunları ilgili sağlayıcıya bildirin);
istismarı gösterilmemiş eksik güvenlik başlıkları veya en iyi uygulama ayarları;
yalnızca otomatik tarayıcı çıktısına dayanan bildirimler;
hassas işlem yapılmayan sayfalarda tıklama korsanlığı (clickjacking);
e-posta göndermeyen alan adlarındaki SPF, DKIM veya DMARC ayarları;
yalnızca eski veya desteklenmeyen tarayıcıları etkileyen ya da root’lu cihaz veya parolasını zaten vermiş bir kurban gerektiren sorunlar.

Güvenli liman

Bir güvenlik açığını bu politikaya uygun olarak araştırır ve bildirirseniz:

araştırmanızı kendi hizmet şartlarımız ve kabul edilebilir kullanım politikamız bakımından yetkili sayarız ve bu araştırma nedeniyle bu belgelerden doğan haklarımızdan feragat ederiz;
bu araştırma nedeniyle size karşı hukuki yola başvurmayız ve sizi kolluğa şikâyet etmeyiz;
bu politikaya uygun bir araştırma nedeniyle üçüncü bir kişi size karşı dava açar veya şikâyette bulunursa, hukukun izin verdiği ölçüde bu politika kapsamında yetkimizle hareket ettiğinizi bildiririz;
sorunu anlamak ve gidermek için sizinle birlikte çalışırız; isterseniz sorun giderildikten sonra adınızı kamuya açık olarak anarız.

Sahibi olmadığımız veya kontrol etmediğimiz sistemlerde test yapılmasına izin veremeyiz. Buna diğer mağaza sahiplerinin verileri ve ödeme sağlayıcıları gibi üçüncü taraf hizmetler dâhildir. Kamu makamlarını da bağlayamayız. Bir şeyin kapsamda olup olmadığından emin değilseniz, test etmeden önce [email protected] adresinden bize sorun.

Koşullar

Bu güvenli liman yalnızca aşağıdaki koşullara uymanız hâlinde uygulanır:

Yalnızca izin verilen sistemleri test edin. Bunlar CIQRA’nın kendi hizmetleri ile sizin oluşturduğunuz mağazalar veya geliştirme mağazalarıdır. Başka bir mağaza sahibine veya onun müşterilerine ait verilere erişmeyin, bu verileri değiştirmeyin veya silmeyin.
Asgari veriyle yetinin. Kişisel veriye veya başka bir gizli veriye ulaşırsanız hemen durun. Açığı göstermek için gerekenden fazlasını kopyalamayın, indirmeyin veya saklamayın; tek bir kayıt veya maskelenmiş bir ekran görüntüsü yeterlidir. Veriyi kullanmayın, paylaşmayın ve daha fazlasına erişmeye çalışmayın. Bildiriminizi yaptıktan sonra elinizdeki her şeyi silin ve sildiğinizi bize teyit edin.
Hizmeti bozmayın. Hizmet engelleme (DoS) veya yük testi, yüksek hacimli otomatik tarama ya da platformun veya mağazaların erişilebilirliğine veya bütünlüğüne zarar verebilecek herhangi bir işlem yapmayın. Gerçek satın alma, iade, ödeme aktarımı veya kartlı işlem yapmayın; test modundaki ödeme yöntemlerini kullanın.
Sosyal mühendislik veya fiziksel saldırı yapmayın. CIQRA çalışanlarına, mağaza sahiplerine veya müşterilerine yönelik oltalama, telefonla dolandırıcılık veya kimlik taklidi yapmayın. Ofislere veya veri merkezlerine fiziksel erişim sağlamaya çalışmayın. Platform üzerinden istenmeyen mesaj göndermeyin.
Derhâl bildirin. Açığı bulduktan sonra gecikmeksizin bize bildirin ve açığı, doğrulamak için gerekenden fazla kullanmayın.
Bize zaman tanıyın. Sizinle farklı bir tarih üzerinde anlaşmadıkça, açığı biz giderene veya bildiriminizden itibaren 90 gün geçene kadar (hangisi önce gelirse) kamuya veya başkasına açıklamayın. Açık aktif olarak istismar ediliyorsa sizinle daha kısa bir süre üzerinde anlaşabiliriz.
İyi niyetle hareket edin. Açığı ifşa etmemek karşılığında ödeme veya başka bir şey talep etmeyin ve açığı bize bildirmek dışında hiçbir amaçla kullanmayın.

Bu koşullardan birini yanlışlıkla ihlal ederseniz, bize hemen bildirin; bunu dikkate alırız.

Hedeflerimiz

Bunlar hedeflerimizdir, garanti değildir. İş günleri Cumartesi, Pazar ve Estonya resmî tatilleri dışındaki günlerdir.

Adım	Hedefimiz
İlk yanıt (bildiriminizi aldığımızı ve kimin ilgilendiğini bildiririz)	3 iş günü içinde
Ön değerlendirme (sorunu doğrularız veya reddederiz, önem derecesini belirleriz ve sonraki adımları bildiririz)	10 iş günü içinde
Kritik bir açığın giderilmesi	ön değerlendirmeden itibaren 30 gün içinde
Diğer açıkların giderilmesi	önem derecesine göre; planımızı ön değerlendirmede bildiririz

Çalışma süresince sizi bilgilendiririz ve sorun giderildiğinde haber veririz.

Açıklama

Lütfen yukarıdaki 6. koşula uyun. Düzeltme yayına girdikten sonra kamuya açık bir yazıyı birlikte planlamaktan ve isterseniz sizi anmaktan memnuniyet duyarız.

Ödül

Şu anda ücretli bir hata ödül programımız (bug bounty) yoktur.