1. Hesabınızı nasıl koruyoruz
- Her yerde HTTPS. more.you, uygulama, MCP sunucusu ve yayınlanan sayfalar HTTPS üzerinden sunulur. Özel alan adları otomatik olarak sertifika alır.
- Google ile giriş. Google hesabınızla giriş yaparsınız, bu yüzden More.You Google parolanızı hiç görmez. Daha önceki bir kayıttan kalan parola yalnızca bcrypt hash'i olarak saklanır.
- Güvenli oturumlar. Giriş çerezleri güvenli ve HTTP-only çerezlerdir, bu yüzden sayfadaki betikler (script) onları okuyamaz.
- Sizin kontrol ettiğiniz yapay zeka bağlantıları. AI Control, bir asistanı OAuth ile bağlar. Her bağlantıyı siz onaylarsınız ve kaldırabilirsiniz.
- Kodda sır yok. Anahtarlar ve parolalar AWS Systems Manager Parameter Store'da durur.
- Kötüye kullanım koruması. Giriş ve kayıtta istek sınırları ve veriyi değiştiren her isteğin kendi sitemizden geldiğinin kontrolü.
- Ödemeler Stripe üzerinden. Kart bilgileri doğrudan Stripe'a gider. Kart numaralarını asla görmeyiz ya da saklamayız.
Gizlilik Politikası hangi verileri tuttuğumuzu ve kimlerle paylaştığımızı açıklar.
2. Güvenlik açığı bildirimi
security@more.you adresine e-posta gönderin ve şunları ekleyin:
- sorunun açıklaması ve bir saldırganın bununla neler yapabileceği;
- sorunu yeniden üretme adımları, varsa kavram kanıtı (proof-of-concept) kodu veya ekran görüntüleri;
- sorunun nerede olduğu, örneğin more.you, app.more.you veya mcp.more.you;
- adınızın anılmasını istiyorsanız adınız veya kullanıcı adınız.
Lütfen bir güvenlik açığını herkese açık bir issue'ya, yoruma veya sosyal medya gönderisine yazmayın.
3. Kapsam
Kapsam içi
- more.you ve işlettiğimiz alt alan adları, app.more.you ve api-app.more.you dahil.
- more.you/<name> adresindeki ve bağlı özel alan adlarındaki yayınlanmış sayfalar.
- mcp.more.you/api adresindeki More.You MCP sunucusu ve OAuth girişi.
Kapsam dışı
- Kullandığımız hizmetlerdeki sorunlar, örneğin Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare ve sosyal ağlar. Bunları hizmeti işleten şirkete bildirin.
- MCP sunucumuza bağlanan yapay zeka asistanlarındaki sorunlar, örneğin ChatGPT, Claude ve Gemini.
- Kurbanın cihazına fiziksel erişim gerektiren saldırılar, çalışanlarımıza yönelik sosyal mühendislik veya trafik hacmiyle hizmet reddi.
- Zaten herkese açık olan sorunlar.
- Gerçek bir zarar gösterme yolu olmayan bildirimler.
4. Test kuralları
- Yalnızca kendi hesabınızda ve kendi sayfalarınızda test yapın.
- Başkalarının verilerini okumayın, değiştirmeyin veya silmeyin. Yanlışlıkla erişirseniz durun ve ne gördüğünüzü bize söyleyin.
- Hizmeti başkaları için yavaşlatan otomatik taramalar çalıştırmayın.
- Sahibi olmadığınız bir sayfadan ödeme almaya çalışmayın ve kullanma izniniz olmayan kartları kullanmayın.
5. Güvenli liman
Araştırmanız sırasında bu politikayı iyi niyetle izlemeye çalışırsanız, araştırmanızı yetkili sayarız. Sorunu anlamak ve hızla gidermek için sizinle çalışırız ve bununla ilgili hukuki işlem başlatmayız ya da desteklemeyiz.
6. Koordineli ifşa
Sorunu herkese açık yapmadan önce incelememiz ve gidermemiz için makul bir süre tanıyın. Sorun giderildikten sonra, herkese açık bir duyuruda adınızı anmaktan memnuniyet duyarız.
7. security.txt
RFC 9116 uyarınca /.well-known/security.txt dosyasını, aynı iletişim adresi ve bu sayfaya bir linkle yayınlıyoruz.
8. Hesabınızı güvende tutun
- Giriş yaptığınız Google hesabı için iki adımlı doğrulamayı açın.
- Artık kullanmadığınız yapay zeka asistanı ve Stripe bağlantılarını kaldırın.
- Parolanızı asla e-postayla istemeyiz. Bir e-posta parolanızı istiyorsa, security@more.you adresine iletin.
