کافینتو۱. مقدمه و رویکرد ما
کافینتو به حفظ امنیت داده‌های کاربران و زیرساخت‌های خود متعهد است. ما از پژوهش‌های مستقل امنیتی و گزارش مسئولانه آسیب‌پذیری‌ها توسط متخصصان و هکرهای کلاه‌سفید استقبال می‌کنیم و معتقدیم همکاری با جامعه امنیت به ارتقای سطح پایداری خدمات می‌انجامد.
۲. دامنه پژوهش امنیتی (Scope)
پژوهشگران مجاز هستند بخش‌های زیر را در چارچوب اخلاقی و بدون اختلال در سرویس‌دهی ارزیابی نمایند:
- وب‌سایت اصلی و صفحات فرود (
cafenetoo.ir). - پنل کاربری متصدیان (
cafenetoo.ir/panel). - رابط‌های برنامه‌نویسی نرم‌افزار (
api.cafenetoo.irیا اندپوینت‌های/api/v1/). - برنامه دسکتاپ کافینتو و ارتباطات محلی/شبکه‌ای آن.
موارد خارج از دامنه (Out of Scope):
- حملات انکار سرویس (DoS / DDoS) علیه سرورها یا شبکه‌های پشتیبان.
- حملات مهندسی اجتماعی (Social Engineering) یا فیشینگ علیه پرسنل کافینتو یا کاربران.
- تلاش برای دسترسی فیزیکی، آسیب یا تخریب اطلاعات واقعی کاربران.
۳. نحوه ارسال گزارش
لطفاً جزئیات یافته‌های خود را با ذکر مراحل بازتولید (PoC)، شرح دقیق ریسک و سناریوی نفوذ به نشانی زیر ارسال فرمایید:
- ایمیل امنیتی: TODO: confirm security contact mailbox
- در صورت نیاز به رمزنگاری پیام، از کلید عمومی PGP معرفی‌شده در فایل
/.well-known/security.txtاستفاده نمایید.
۴. تعهدات و زمان‌بندی پاسخ‌گویی (What to Expect)
تیم فنی کافینتو فرآیند زیر را پیگیری میکند:
- تأیید دریافت و ارزیابی: زمان‌بندی تایید اولیه و تعیین شدت آسیب‌پذیری: TODO: confirm response times
- وصله و انتشار: رفع مشکل و انتشار به‌روزرسانی در کوتاه‌ترین زمان ممکن، همراه با مطلع نگه‌داشتن گزارش‌دهنده.
- قدردانی: ثبت نام پژوهشگر در تالار افتخارات امنیتی کافینتو (در صورت رضایت وی).
۵. تعهد عدم پیگرد قانونی برای پژوهشگران حسن‌نیت
کافینتو متعهد میشود در صورتی که پژوهش با رعایت اصول اخلاقی، حفظ محرمانگی دادهها و عدم افشای عمومی زودهنگام پیش از رفع آسیب‌پذیری صورت گرفته باشد، هیچ‌گونه پیگرد قانونی علیه پژوهشگر انجام ندهد. TODO: lawyer approval