Siber Güvenlik Politikası
DropBG (dropbg.io) • Koordineli Güvenlik Açığı Bildirimi
Politika
Güvenliğimizi geliştirmemize yardımcı olma ilginizi takdir ediyoruz. Herhangi bir yasal sonuç riskini azaltmak için lütfen aşağıdaki kurallara uyun.
Koordineli Güvenlik Açığı Bildirimi Yönergeleri
- Yetkisiz paylaşımdan kaçının. Koordineli bildirim süreci boyunca lütfen güvenlik açığını yalnızca etkilenen satıcı, sistem sahibi ve bizimle görüşün.
- Düzeltme için zaman tanıyın. Güvenlik açığını herkese açık olarak paylaşmadan önce etkilenen tarafların sorunu çözmek için yeterli zamana sahip olmasını veya sizin ve DropBG dahil tüm tarafların bir açıklama anlaşmasına varmasını bekleyin.
- Etkileşimleri minimumda tutun. Bir güvenlik açığını bildirdikten sonra koordineli bildirim süreci boyunca etkilenen sistemle tekrar etkileşime girmeyin.
- Kapsamınızı sınırlayın. Kavram kanıtı (PoC) gösterirken yalnızca gerekli minimum işlemleri gerçekleştirin. Gerekenin ötesinde hiçbir veriyi indirmeyin, değiştirmeyin veya silmeyin.
- Erişim yetkinizi aşmayın. Kavram kanıtınız için gereken minimum düzeyin ötesinde yetki yükseltmekten veya sistemi keşfetmekten kaçının. Test için yalnızca kendi hesaplarınızı kullanın ve asla diğer kullanıcıların verilerini dışarı çıkarmayın.
- Etik yöntemler kullanın. Bir sisteme erişim sağlamak için kaba kuvvet (brute-force) veya sosyal mühendislik teknikleri kullanmayın.
- Kötü niyetli eylemlerden kaçının. Hizmet reddi (DoS) saldırıları düzenlemeyin veya kötü amaçlı yazılım ya da virüs yüklemeyin.
- IP adreslerini belirtin. Mümkün olduğunda keşfiniz sırasında kullandığınız IP adreslerini ekleyin. Bu, olası istismarları değerlendirmemize ve yanlış pozitif uyarıları azaltmamıza yardımcı olur.
- Planlarınızı paylaşın. Bulgularınızı örneğin bir konuşmada veya makalede herkese açık olarak paylaşmayı düşünüyorsanız lütfen bize önceden haber verin.
CVD Programımızdan Neler Bekleyebilirsiniz
- Yasal Korumalar. Yönergelerimize uyduğunuz, iyi niyetle hareket ettiğiniz ve kötü bir amacınız olmadığı sürece bir güvenlik açığını bildirdiğiniz için tarafımızdan hiçbir hukuki veya cezai işlemle karşılaşmazsınız.
- Gizlilik ve Anonimlik. Raporunuz gizli tutulacaktır. Anonim kalmayı seçebilirsiniz ve kişisel verilerinizi açık onayınız olmadan hiçbir üçüncü tarafla paylaşmayız.
- Teşekkür ve Tanınma. Sorun çözüldükten sonra güvenlik açığını bildiren kişi olarak adınızla veya takma adınızla size teşekkür etmekten mutluluk duyarız.
- Zamanında Yanıt. Raporunuzun alındığına dair 3 iş günü içinde onay alacaksınız ve sorunu 5 iş günü içinde değerlendireceğiz.
- İletişim. Güvenlik açığının giderilme süreci hakkında sizi bilgilendireceğiz ve bir CVE yayını durumunda açıklamayı ilgili tüm taraflarla koordine edeceğiz.
- Onur Duvarı (Wall of Fame) Tanınması. Bağımsız bir projeyiz ve nakit para ödülü (bug bounty) sunmuyoruz. Katkınızın bir göstergesi olarak adınızı veya kullanıcı adınızı herkese açık Güvenlik Onur Duvarımızda (Security Wall of Fame) memnuniyetle yayınlarız (anonim kalmayı tercih etmediğiniz sürece).
Bir güvenlik açığını bildirmek için şu adrese e-posta gönderin: dropna@pm.me. RFC 9116 güvenlik dosyamıza şu adresten ulaşabilirsiniz: /.well-known/security.txt.
Son değiştirilme tarihi: 29 Eylül 2026