سياسة الإبلاغ عن الثغرات

الإبلاغ | Report

أرسل تقريرًا خاصًا إلى security@fnnlr.io. اذكر السطح المتأثر، خطوات إعادة المشكلة، الأثر، والإصدار إن أمكن. لا ترسل كلمات مرور أو مفاتيح أو بيانات عملاء غير ضرورية.

Send a private report to security@fnnlr.io. Include the affected surface, reproduction steps, impact, and version where possible. Do not send passwords, keys, or unnecessary customer data.

النطاق الآمن | Safe scope

• اختبر فقط الحسابات والبيانات التي تملكها أو لديك تصريح صريح لاختبارها.
• توقف فورًا إذا ظهرت بيانات تخص طرفًا آخر، وبلّغنا دون نسخها أو مشاركتها.
• لا تنفذ تعطيل خدمة، إغراقًا، هندسة اجتماعية، وصولًا فعليًا، حذفًا، ابتزازًا، أو تحركًا جانبيًا.
• لا تستخدم الاكتشاف للوصول إلى بيانات إضافية أو لتحقيق مكسب مالي.

Test only accounts and data you own or are explicitly authorized to test. Stop if another party's data appears. Do not perform denial of service, flooding, social engineering, physical access, deletion, extortion, lateral movement, or access beyond the minimum needed to demonstrate the issue.

ما الذي سيحدث | What happens next

سننشئ رقم حالة، نقيّم القابلية للاستغلال والأثر، ننسّق الإصلاح والتحقق، ونحدد توقيت التواصل أو الإفصاح بحسب المخاطر. أهداف الاستجابة تشغيلية وليست وعدًا تعاقديًا.

We assign a case ID, assess exploitability and impact, coordinate remediation and verification, and make a risk-based communication or disclosure decision. Response targets are operating goals, not contractual promises.

التنسيق والخصوصية | Coordination and privacy

نطلب إبقاء التفاصيل غير علنية حتى تتاح معالجة آمنة. سنحد من بيانات المبلّغ ومواد الإثبات، ونشاركها فقط مع من يحتاجها للتحقيق أو التنسيق مع مزود متأثر.

Please keep details private until safe remediation is available. We minimize reporter and evidence data and restrict it to people who need it for investigation or affected-vendor coordination.

الوضع القانوني | Legal boundary

هذه السياسة لا تمنح تصريحًا لاختبار أنظمة أو بيانات لا تملكها، ولا تغيّر القوانين أو العقود السارية. أي صياغة نهائية للملاذ الآمن تتطلب اعتمادًا قانونيًا صريحًا.

This policy does not authorize testing systems or data you do not own and does not override applicable law or contract. Any final safe-harbor commitment requires explicit legal approval.