Güvenlik Politikası

Haberton olarak okurlarımızın, içerik üreticilerimizin ve sistem altyapımızın güvenliğine en üst düzeyde önem veriyoruz.

Sistemlerimizi korumak için sürekli çalışsak da, siber güvenliğin dinamik bir süreç olduğunun bilincindeyiz.

Bağımsız güvenlik araştırmacılarının ve siber güvenlik topluluğunun, sistemlerimizi daha güvenli hale getirme konusundaki katkılarına değer veriyoruz. Eğer Haberton sistemlerinde (haberton.com ve alt alan adları) bir güvenlik açığı tespit ettiğinizi düşünüyorsanız, bunu bize sorumlu bir şekilde bildirmenizi rica ediyoruz.

🎯 Kapsam

Bu politika aşağıdaki varlıkları kapsamaktadır:

• https://haberton.com ve tüm alt alan adları (subdomains)
• Haberton’a ait özel API uç noktaları

🚫 Kapsam Dışı ve Yasaklı Eylemler

Aşağıdaki eylemler kesinlikle yasaktır ve bu politika kapsamında değerlendirilmez:

• Hizmet Reddi (DDoS/DoS) saldırıları gerçekleştirerek sitenin erişilebilirliğini etkilemek.
• Okurlarımıza, çalışanlarımıza veya editörlerimize yönelik Sosyal Mühendislik (Phishing, Vishing vb.) yapmak.
• Spam form gönderimleri veya iletişim kanallarını gereksiz yere meşgul etmek.
• Sistemlerimize sızdıktan sonra (örneğin RCE veya SQLi tespiti sonrası) veritabanı indirmek, veri silmek, değiştirmek veya zararlı yazılım yüklemek (Sadece zafiyeti kanıtlayacak kadar -Proof of Concept- işlem yapılmalıdır).
• Üçüncü taraf hizmet sağlayıcılarına (Örn: Cloudflare, CDN servisleri, barındırma şirketleri) yönelik testler.

📨 Nasıl Bildirim Yapılır?

Tespit ettiğiniz zafiyetleri lütfen doğrudan aşağıdaki e-posta adresine iletin: 📧 E-posta: [email protected]

Raporunuzun hızlıca incelenebilmesi için şu bilgileri içermesine dikkat edin:

1. Zafiyetin türü (Örn: XSS, SQLi, CSRF vb.)
2. Zafiyetin bulunduğu tam URL veya parametre.
3. Zafiyetin nasıl tetiklendiğini gösteren adım adım yeniden üretme (reproduction) talimatları.
4. Mümkünse ekran görüntüleri veya kısa bir PoC (Proof of Concept) videosu/kodu.
5. Zafiyetin sistem üzerindeki olası etkisi.

🤝 Bizim Taahhüdümüz

Bize bu kurallar çerçevesinde iyi niyetle yaklaşan araştırmacılara karşı yasal bir işlem başlatmayacağımızı (Safe Harbor) taahhüt ediyoruz. Gelen bildirimleri:

• En geç 5 iş günü içerisinde okuyup size bir alındı onayı göndereceğiz.
• Zafiyetin kritiklik seviyesine göre makul bir süre içerisinde sorunu gidermek için teknik ekibimizle birlikte çalışacağız.
• Sorun çözülene kadar zafiyet detaylarının gizli tutulmasını (Public Disclosure yapılmamasını) bekliyoruz.

🎁 Ödüllendirme

Şu an için resmi bir nakdi ödül (Bug Bounty) programımız bulunmamaktadır. Ancak tespit edilen kritik güvenlik açıklarında, araştırmacının emeğine saygı duyar ve (kendisinin de onay vermesi halinde) adını/takma adını teşekkür listemizde (Hall of Fame) yayınlamaktan memnuniyet duyarız.

Daha güvenli bir dijital yayıncılık ortamı yaratmamıza yardımcı olduğunuz için teşekkür ederiz.