مكافآت الثغرات · الانضمام مجاني · فرز داخلي
أمسِك بنا — واحصل على مكافأة.
برنامجنا الخاص. نقبل نوعين من النتائج: الثغرات الكلاسيكية (المسار A) ودحض تقرير الأمن لدينا (المسار B). مستويات الدفع مشتركة بينهما؛ والمكافأة تُضاف إلى رصيدك في المنصّة.
النطاق
أين يمكنك البحث.
ضمن النطاق
- createyourvpn.com و api.createyourvpn.com
- نطاقات متجرك الخاصة
- خادم اختبار مُحدَّد صراحةً
خارج النطاق
- خوادم وبيانات الشركاء والمستخدمين النهائيين
- حجب الخدمة / اختبار الإجهاد
- الهندسة الاجتماعية، والبريد المزعج، والتصيّد
- الوصول الفيزيائي
يُسمح بالاختبار النشط على منصّة ما قبل الإنتاج (pp.*) فقط، كي لا يمسّ البحث الشركاء الفعليين أو مستخدميهم. والمشكلات التي تؤثّر في الإنتاج أيضًا تظلّ محتسَبة — ما عليك سوى إعادة إنتاجها على المنصّة.
المكافآت
مستويات الدفع.
كبيرة€100
RCE؛ الوصول إلى خوادم أخرى أو مفاتيح SSH؛ تجاوز التصريح؛ دحض ادّعاء SR عن تخزين المفاتيح
متوسطة€50
IDOR إلى بيانات الآخرين؛ XSS مع اختطاف الجلسة؛ دحض ادّعاءات SR أخرى
طفيفة€25
XSS بأثر محدود؛ كشف معلومات داخلية
معلوماتيةلوحة الشرف
ملاحظات أفضل الممارسات؛ ترويسة مفقودة بلا استغلال
القواعد
موجزة وصادقة.
- أجرِ الاختبارات النشطة على منصّة ما قبل الإنتاج المخصَّصة (pp.*) فقط — ولا تُجرِها أبدًا على الإنتاج أو خوادم الشركاء أو المستخدمين.
- المكافأة للمُبلِّغ الأول فقط؛ والتكرارات تحصل على ذِكر في لوحة الشرف.
- يلزم إثبات مفهوم قابل لإعادة الإنتاج؛ وعبارة «تنقصك الترويسة X» بلا استغلال هي لوحة شرف، لا مكافأة.
- الإفصاح المسؤول: 90 يومًا من الصمت؛ ونردّ خلال 72 ساعة.
- الملاذ الآمن: لن نلاحق البحث بحسن نية ضمن النطاق.
- اختبر على حساباتك الخاصة فقط.
- خارج النطاق: خوادم وبيانات الشركاء والمستخدمين، وحجب الخدمة، والهندسة الاجتماعية، والبريد المزعج، والوصول الفيزيائي.
وجدت شيئًا؟
أرسِل تقريرًا مع إثبات مفهوم قابل لإعادة الإنتاج عبر البريد الإلكتروني. يمكنك أيضًا العثور علينا عبر ملف security.txt على نطاقاتنا.
security@createyourvpn.com/.well-known/security.txt · 90 يومًا من الصمت · الملاذ الآمن