الأمان والإبلاغ عن الثغرات

1. كيف نحمي حسابك

HTTPS في كل مكان. يعمل more.you والتطبيق وخادم MCP والصفحات المنشورة عبر HTTPS. وتحصل النطاقات المخصصة على شهادة تلقائيًا.
تسجيل الدخول عبر Google. تسجّل الدخول بحساب Google، فلا يرى More.You كلمة مرور Google أبدًا. وأي كلمة مرور محفوظة من تسجيل سابق نحتفظ بها على شكل تجزئة bcrypt فقط.
جلسات آمنة. ملفات تعريف الارتباط الخاصة بتسجيل الدخول آمنة وبصيغة HTTP-only، فلا تستطيع السكربتات في الصفحة قراءتها.
اتصالات الذكاء الاصطناعي بيدك. يربط AI Control مساعدًا عبر OAuth. توافق على كل اتصال، ويمكنك إزالته.
لا أسرار داخل الشيفرة. المفاتيح وكلمات المرور محفوظة في AWS Systems Manager Parameter Store.
الحماية من إساءة الاستخدام. حدود لعدد المحاولات عند تسجيل الدخول وإنشاء الحساب، وفحص يتأكد أن كل طلب يغيّر البيانات يأتي من موقعنا نحن.
المدفوعات عبر Stripe. تذهب بيانات البطاقة مباشرة إلى Stripe. لا نرى أرقام البطاقات ولا نخزّنها أبدًا.

توضح سياسة الخصوصية البيانات التي نحتفظ بها ومن نشاركها معه.

2. الإبلاغ عن ثغرة أمنية

راسل security@more.you وأرفق ما يلي:

وصف للمشكلة وما الذي يستطيع المهاجم فعله بها؛
خطوات إعادة إنتاجها، مع أي شيفرة إثبات مفهوم أو لقطات شاشة؛
مكانها، مثل more.you أو app.more.you أو mcp.more.you؛
اسمك أو اسم المستخدم، إذا رغبت في ذكرك.

يرجى عدم وضع الثغرة في بلاغ عام أو مراجعة أو منشور على وسائل التواصل الاجتماعي.

3. النطاق

ضمن النطاق

more.you والنطاقات الفرعية التي نديرها، ومنها app.more.you وapi-app.more.you.
الصفحات المنشورة على more.you/<name> وعلى النطاقات المخصصة المرتبطة.
خادم MCP من More.You على mcp.more.you/api وتسجيل الدخول عبر OAuth فيه.

خارج النطاق

مشكلات في خدمات نستخدمها، مثل Amazon Web Services وGoogle وMicrosoft وStripe وOpenAI وCloudflare وشبكات التواصل الاجتماعي. أبلغ عنها الشركة التي تديرها.
مشكلات في مساعدات الذكاء الاصطناعي التي تتصل بخادم MCP لدينا، مثل ChatGPT وClaude وGemini.
هجمات تتطلب وصولًا فعليًا إلى جهاز الضحية، أو هندسة اجتماعية تستهدف موظفينا، أو حجب الخدمة عبر حجم الزيارات.
مشكلات معروفة للعموم أصلًا.
بلاغات لا تثبت ضررًا حقيقيًا.

4. قواعد الاختبار

اختبر على حسابك وصفحاتك أنت فقط.
لا تقرأ بيانات الآخرين ولا تغيّرها ولا تحذفها. وإذا وصلت إليها بالخطأ، فتوقف وأخبرنا بما رأيت.
لا تشغّل فحوصات آلية تبطئ الخدمة على الآخرين.
لا تحاول الحصول على دفعة من صفحة لا تملكها، ولا تستخدم بطاقات غير مسموح لك باستخدامها.

5. الملاذ الآمن

إذا بذلت جهدًا بحسن نية لاتباع هذه السياسة أثناء بحثك، فإننا نعدّ بحثك مصرّحًا به. وسنعمل معك لفهم المشكلة وإصلاحها بسرعة، ولن نبدأ أي إجراء قانوني بشأنها ولن ندعمه.

6. الإفصاح المنسّق

امنحنا وقتًا معقولًا للتحقق من المشكلة وإصلاحها قبل أن تنشرها. وبعد إصلاحها، يسعدنا أن نذكرك في أي إشعار عام.

7. security.txt

ننشر /.well-known/security.txt وفق RFC 9116، بعنوان التواصل نفسه ورابط إلى هذه الصفحة.

8. حافظ على أمان حسابك

فعّل التحقق بخطوتين لحساب Google الذي تسجّل الدخول به.
أزل مساعدات الذكاء الاصطناعي واتصالات Stripe التي لم تعد تستخدمها.
لا نطلب كلمة مرورك بالبريد الإلكتروني أبدًا. وإذا وصلتك رسالة تطلبها، فأعد توجيهها إلى security@more.you.