Güvenlik Açığı Bildirim Politikası
EnaFeedback'te bulduğunuz güvenlik açıklarını ENA Innovation'a nasıl bildireceğinizi ve iyi niyetli araştırmacılara hangi güvenceleri verdiğimizi açıklar.
Yürürlük tarihi: · Son güncelleme:
Bu politika, EnaFeedback'te veya ona bağlı hizmetlerde bir güvenlik açığı bulduğunuzda bunu bize nasıl bildireceğinizi açıklar. Güvenlik araştırmacılarının iyi niyetli katkısını değerli buluyoruz ve bildirimleri ciddiyetle ele alıyoruz.
1. Nasıl bildirilir
Bildirimlerinizi support@enainnovation.com adresine gönderin. Mümkünse bildiriminizde şunlar bulunsun:
- açığın türü ve etkilenen adres, uygulama veya sürüm
- açığı yeniden üretmek için adım adım açıklama
- kavram kanıtı (ekran görüntüsü, istek/yanıt örneği, kısa video)
- olası etki değerlendirmesi
- varsa çözüm öneriniz
- size nasıl ulaşabileceğimiz
Bildiriminizi Türkçe veya İngilizce yazabilirsiniz. Lütfen açığı, düzeltilene kadar kamuya veya üçüncü kişilere açıklamayın.
2. Kapsam
Kapsam içindeki sistemler:
| Sistem | Açıklama |
|---|---|
*.enafeedback.com | EnaFeedback tanıtım sitesi ve bu alan adı altındaki uygulamalar |
| EnaFeedback uygulamaları | Web uygulaması (ziyaretçi arayüzü, personel arayüzü, yönetim paneli), API ve Android/iOS mobil uygulaması (com.enainnovation.enafeedback) |
go.enainnovation.com | Kısa bağlantılar ve kurum bulma hizmeti |
qr.enainnovation.com | QR kod yönlendirmesi |
qrx.enainnovation.com | Canlı ekran QR yönlendirmesi |
nfc.enainnovation.com | NFC etiketi yönlendirmesi ve uygulama bağlantıları |
Kapsam dışındaki konular:
- Yukarıda sayılmayan ENA Innovation alan adları ve hizmetleri. Bu sistemlerle ilgili bulgularınızı yine bildirebilirsiniz; ancak 4. bölümdeki güvence yalnızca kapsam içindeki sistemler için geçerlidir.
- Üçüncü taraf hizmetler ve altyapılar (örneğin bulut barındırma, alan adı ve vekil sunucu hizmeti, kimlik doğrulama hizmeti, e-posta ve SMS sağlayıcıları, yapay zekâ sağlayıcıları). Bu hizmetlerdeki açıkları ilgili sağlayıcıya bildirin.
- Hizmet dışı bırakma (DoS/DDoS), yük testi ve istek sınırlarını zorlayan yüksek hacimli testler
- Sosyal mühendislik, kimlik avı ve ENA Innovation çalışanlarına veya müşterilerine yönelik girişimler
- Fiziksel saldırılar; müşteri mekânlarındaki poster, NFC etiketi veya ekranlara müdahale
- Otomatik tarayıcı çıktısının, istismar edilebilirliği gösterilmeden gönderilmesi
- Somut bir saldırı senaryosu olmadan yalnızca eksik veya zayıf güvenlik başlığı, sürüm bilgisi ifşası ya da SPF/DKIM/DMARC yapılandırma önerileri
- Hassas işlem içermeyen sayfalarda tıklama korsanlığı (clickjacking), oturum kapatma CSRF'i ve kendi kendine XSS (self-XSS)
- Fiziksel erişimi, root/jailbreak yapılmış cihazı veya güncel olmayan tarayıcıyı gerektiren bulgular
- Kullanıcı adı veya e-posta adresinin varlığının tespit edilebilmesi gibi düşük etkili bilgi ifşaları
3. Kurallar
Araştırmanız sırasında:
- Yalnızca kendi hesabınızı veya size açıkça izin verilen test ortamını kullanın. Test ortamı için support@enainnovation.com adresine yazabilirsiniz.
- Gerçek müşteri ortamlarındaki verilere erişmeyin, bu verileri değiştirmeyin veya silmeyin. Açığı kanıtlamak için gereken en az işlemi yapın.
- Kişisel veriye veya başka bir kuruma ait veriye istemeden ulaşırsanız durun, veriyi kopyalamayın ve saklamayın, bize hemen bildirin ve elinizdeki kopyaları silin.
- Hizmet'in kullanılabilirliğini veya performansını bozacak testler yapmayın.
- Gerçek ziyaretçi formlarına, hijyen değerlendirmelerine veya bildirim kanallarına test verisi göndermeyin.
- Erişim elde ettiğiniz bir sistemde kalıcılık sağlamayın, yetkinizi gereğinden fazla yükseltmeyin ve başka sistemlere geçmeyin.
- Açığı, düzeltilmeden veya bizimle kararlaştırılan tarihten önce paylaşmayın.
4. Güvenli liman
Bu politikaya uygun ve iyi niyetle yürütülen araştırmalar için ENA Innovation:
- araştırmanızı yetkili bir faaliyet olarak kabul eder
- sizin hakkınızda hukuki işlem başlatmaz ve şikâyette bulunmaz
- bir üçüncü kişi araştırmanız nedeniyle size karşı işlem başlatırsa, bu politikaya uygun hareket ettiğinizi bildirir
Bu güvence, ENA Innovation'ın kendi hakları ile sınırlıdır. Kamu makamlarının veya üçüncü kişilerin işlemleri üzerinde ENA Innovation taahhütte bulunamaz. Bir faaliyetin bu politikaya uygun olup olmadığından emin değilseniz başlamadan önce bize sorun.
5. Yanıt hedeflerimiz
| Aşama | Hedef süre |
|---|---|
| Bildirimin alındığının teyidi | 3 iş günü |
| İlk değerlendirme ve önem derecesi | 10 iş günü |
| Durum güncellemesi | Çözüme kadar en az 30 günde bir |
Doğrulanan açıkları önem derecesine göre önceliklendiririz. Düzeltme için hedeflerimiz şunlardır:
| Önem derecesi | Düzeltme hedefi |
|---|---|
| Kritik | 30 gün |
| Yüksek | 60 gün |
| Orta | 90 gün |
| Düşük | Sonraki planlı sürümlerde |
Bu süreler hedeftir, taahhüt değildir. Karmaşık açıklarda veya üçüncü taraf bileşenlere bağlı düzeltmelerde süre uzayabilir. Bu durumda sizi bilgilendiririz.
6. Koordineli açıklama
Açığı kamuya açıklamak isterseniz, düzeltmenin yayımlanmasından sonra ve bizimle kararlaştırılan tarihte açıklayın. Varsayılan olarak bildirimden itibaren 90 gün sonrasını öneriyoruz. Açıklamanız müşteri verisi veya kişisel veri içermemelidir.
7. Teşekkür ve ödül
ENA Innovation şu anda para ödüllü bir hata ödül programı yürütmemektedir. Geçerli ve kapsam içindeki bildirimler için, izninizle, adınızı teşekkür listemizde anabiliriz.
8. İletişim
| Güvenlik bildirimleri | support@enainnovation.com |
| Diğer konular | support@enainnovation.com |
| Telefon | 0850 308 45 91 |
Bu politika Türkçe ve İngilizce olarak yayımlanmıştır. Çelişki hâlinde Türkçe metin esas alınır.