الأمان وبرنامج مكافآت الثغرات

1. مقدمة

يتولى هذا البرنامج فريق الأمن في رابت بقيادة ميادة عبد السلام، رئيسة الأمن. للتواصل: security@rabbitmart.com.

هذه ترجمة عربية للتيسير. في حال وجود أي اختلاف، تكون النسخة الإنجليزية هي المرجع.

2. أوقات الاستجابة

أيام العمل من الأحد إلى الخميس بتوقيت القاهرة.

3. النطاق

الأصول المدرجة أدناه فقط هي ضمن النطاق. أي أصل غير مدرج يُعد خارج النطاق، حتى لو كان يستخدم نطاقًا تابعًا لرابت.

ضمن النطاق

خارج النطاق

• بيئات التجربة (Staging) والتطوير والاختبار.
• مزوّدو خدمات الدفع، ومنهم Paymob، وأي أطراف ثالثة أخرى. أبلغهم مباشرةً عن المشكلات في أنظمتهم؛ أما الأخطاء في تكامل رابت معهم فهي ضمن النطاق.
• شبكات رابت المؤسسية وشبكات المستودعات، وبوابات VPN، وأنظمة الإدارة الداخلية أو إدارة المستودعات.
• فحص المنافذ، أو مسح الشبكات، أو هجمات القوة الغاشمة على أي نطاق عناوين IP تابع لرابت.
• الهندسة الاجتماعية أو التصيّد الموجّه لموظفي رابت أو المندوبين أو العاملين في تجهيز الطلبات أو العملاء أو فريق الدعم.
• الأمن المادي لمكاتب رابت أو المتاجر المظلمة أو المستودعات.
• هجمات حجب الخدمة (DoS/DDoS) وأي اختبار يؤدي إلى تدهور الخدمة.
• المشكلات التي تؤثر فقط على المتصفحات والمنصات القديمة أو غير المحدّثة.
• المشكلات المعروفة لدى رابت والجاري إصلاحها. البلاغات المطابقة لمشكلة معروفة تُعامل كبلاغات مكررة ولا تُكافأ.

4. قواعد الاختبار

• عرّف عن حركة بياناتك. أضف الترويسة X-Bug-Bounty: <your-handle> إلى كل طلب حتى نميّز اختبارك عن أي هجوم.
• حافظ على حركة منخفضة. لا ترسل أكثر من 5 طلبات في الثانية، ولا تستخدم أدوات فحص آلية تولّد حركة كثيفة.
• لا تؤثر على الطلبات الحقيقية أو المندوبين. لا تُكمل أبدًا طلبًا مدفوعًا حقيقيًا، ولا تطلب توصيلًا حقيقيًا، ولا تتواصل مع المندوبين أو العاملين أو فريق الدعم كجزء من الاختبار. ألغِ أي طلب تنشئه فورًا.
• لا تحتفظ بما تحصل عليه. إذا منحك خطأ ما أموالًا أو رصيدًا أو خصومات أو منتجات مجانية، فلا تستخدمها. توقف وأبلغ عنه.
• توقف عند الإثبات. اعرض الحد الأدنى اللازم لإثبات التأثير. لا تتوغل أكثر في أنظمتنا، ولا تعدّل البيانات أو تحذفها، ولا تحتفظ بأي صلاحية وصول.
• مشكلة واحدة لكل بلاغ، إلا إذا احتجت إلى ربط عدة مشكلات لإظهار التأثير.
• البلاغات المكررة: يُكافأ فقط أول بلاغ قابل لإعادة الإنتاج بالكامل. عدة أخطاء لها سبب جذري واحد تحصل على مكافأة واحدة.
• إذا وجدت مشكلة في شيء غير مدرج ضمن النطاق، يمكنك الإبلاغ عنها، لكن من غير المرجح أن تكون مؤهلة لمكافأة، لذا نرجو عدم البحث عنها.

5. البيانات الشخصية والحماية القانونية والإفصاح

البيانات الشخصية. تعالج رابت البيانات الشخصية وفقًا لقانون حماية البيانات الشخصية المصري (القانون رقم 151 لسنة 2020). إذا وصلت إلى بيانات شخصية لأي مستخدم (مثل الأسماء أو أرقام الهواتف أو العناوين أو سجل الطلبات):

• توقف فورًا وأبلغ عن ذلك.
• لا تصل إلا إلى الحد الأدنى اللازم لإثبات المشكلة؛ ولا تقم أبدًا بتنزيلها أو تصديرها أو الاحتفاظ بها.
• احذف كل ما وصلت إليه بعد إرسال بلاغك، وأكّد لنا الحذف.
• لا تصل أبدًا إلى الرسائل الخاصة للمستخدمين أو تفضيلات التواصل الخاصة بهم.

الحماية القانونية (Safe Harbor). إذا تصرفت بحسن نية والتزمت بهذه السياسة، تعتبر رابت بحثك مصرّحًا به. لن نتخذ إجراءات قانونية ضدك ولن نبلغ عنك السلطات، بما في ذلك بموجب قانون مكافحة جرائم تقنية المعلومات المصري (القانون رقم 175 لسنة 2018). وإذا اتخذ طرف ثالث إجراءً قانونيًا بشأن نشاط التزم بهذه السياسة، فسنوضح أن تصرفاتك كانت مصرّحًا بها. لا تنطبق هذه الحماية إذا تسببت في ضرر متعمد، أو وصلت إلى بيانات أكثر من اللازم، أو خالفت هذه القواعد.

الإفصاح المنسّق. نرجو عدم مشاركة تفاصيل أي ثغرة علنًا قبل إصلاحها. بعد الإصلاح، يمكنك النشر في موعد نتفق عليه معك، ويسعدنا ذكر اسمك عند الطلب.

6. الأهلية

للحصول على مكافأة، يجب أن:

• يكون عمرك 18 عامًا على الأقل.
• لا تكون موظفًا أو متعاقدًا أو مورّدًا حاليًا أو سابقًا (خلال آخر 12 شهرًا) لدى رابت، أو أحد أفراد أسرة أي منهم.
• لا تكون مدرجًا على أي قائمة عقوبات، ولا مقيمًا في دولة لا يمكننا قانونًا الدفع لك فيها.
• تكون أول من يبلغ عن المشكلة وتلتزم بكل قواعد هذه السياسة.

7. المكافآت

تعتمد المكافأة على درجة CVSS v3.1 والتأثير الفعلي على أعمال رابت، مثل عدد العملاء المتأثرين، وما إذا كانت الأموال أو البيانات الشخصية معرّضة للخطر. المبالغ بالدولار الأمريكي وتُدفع بما يعادلها بالجنيه المصري وفق سعر البنك المركزي المصري في تاريخ الدفع.

تحدد رابت درجة الخطورة والمبلغ النهائيين. البلاغ الذي لا يتضمن خطوات واضحة لإعادة إنتاج المشكلة غير مؤهل للمكافأة.

8. نتائج لا تستحق مكافأة

لا تُكافأ عادةً النتائج التالية ما لم تُثبت تأثيرًا حقيقيًا:

• غياب ترويسات الأمان أو خصائص ملفات تعريف الارتباط دون استغلال مثبت
• هجمات Clickjacking على صفحات لا تحتوي على إجراءات حساسة
• إعدادات SPF أو DKIM أو DMARC
• Self-XSS أو الهجمات التي تتطلب أن يلصق الضحية كودًا بنفسه
• الكشف عن إصدارات البرامج أو الشعارات أو تتبعات الأخطاء دون بيانات حساسة
• مشكلات تحديد المعدل على نقاط نهاية غير حساسة (تجاوز تحديد المعدل على تسجيل الدخول أو رمز التحقق OTP أو الكوبونات ضمن النطاق)
• تجاوز SSL Pinning أو تجاوز كشف الروت/كسر الحماية على جهازك الخاص، ما لم يرتبط بهجوم حقيقي
• البلاغات الناتجة فقط عن أدوات الفحص الآلية دون إثبات
• المشكلات في خدمات الأطراف الثالثة الواقعة خارج النطاق
• الثغرات في صفحات أو تطبيقات لم تعد مدعومة

9. طريقة الإبلاغ

أرسل بلاغك إلى security@rabbitmart.com باللغة الإنجليزية أو العربية. لا تُدرج بيانات شخصية لمستخدمين آخرين بما يتجاوز الحد الأدنى اللازم لإظهار المشكلة.

يرجى تضمين:

1. عنوان ووصف موجز للمشكلة وتأثيرها
2. الأصل المتأثر (الرابط أو نقطة نهاية الـ API أو إصدار التطبيق)
3. خطوات إعادة إنتاج المشكلة بالتفصيل
4. الطلبات والاستجابات أو لقطات الشاشة أو فيديو قصير
5. كود إثبات المفهوم، إن وُجد
6. أي معرّفات حسابات استخدمتها، ومعرّف X-Bug-Bounty، وعنوان IP الخاص بك أثناء الاختبار
7. متجه CVSS v3.1 الخاص بك واقتراح للإصلاح، إن وُجد

لن نرد إلا من عنوان بريد ينتهي بـ ‎@rabbitmart.com. تعامل بحذر مع أي عنوان آخر يدّعي أنه فريق أمن رابت.

10. تحديثات السياسة

الإصدار 1.0، ساري اعتبارًا من نوفمبر 2026. قد نقوم بتحديث هذه السياسة؛ لذا راجعها قبل كل عملية اختبار. النسخة المطبّقة هي السارية عند بدء الاختبار، والتغييرات مدرجة أدناه.