Güvenlik ödül programı
This content is not available in your language yet.
HADİ geliştirici platformunda bulduğun güvenlik açıklarını sorumlu biçimde bildirirsen teşekkür eder, ödüllendiririz.
Bildirim: security@hadisosyal.com (/.well-known/security.txt). Türkçe ya da İngilizce yazabilirsin.
Kapsam
Section titled “Kapsam”| Hedef | Not |
|---|---|
auth.hadisosyal.com | Yetkilendirme sunucusu, izin sayfası, cihaz akışı |
me.api.hadisosyal.com, app.api.hadisosyal.com, mcp.api.hadisosyal.com | Üye, uygulama ve ajan yüzeyleri |
devs.hadisosyal.com | Belgeler, konsol, playground |
| HADİ uygulamasındaki Bağlı uygulamalar, İşlem onayları, Ajan istekleri ekranları | Onay ve iptal akışları |
*.sandbox.hadisosyal.com | Testlerini burada yap (sentetik veri) |
Özellikle ilgilendiklerimiz: başka üyenin verisine erişim (BOLA), izin/scope aşımı, onaysız para hareketi ya da aynı onayla ikinci işlem, Elmas limitinin aşılması, DM veya sağlık verisinin seçilmemiş/rızasız erişimi, jeton/DPoP/oturum kaçırma, MCP’de insan onayı olmadan yazma ya da araç zehirlemesi, SSRF (webhook, uygulama kartı, CIMD), izin sayfasında oltalama/clickjacking.
Kapsam dışı
Section titled “Kapsam dışı”- Hizmet engelleme (DoS), yük ve hız testleri; sosyal mühendislik; fiziksel saldırılar
- Gerçek üye hesaplarına ve verilerine erişim — yalnızca kendi hesabın ve sandbox
api.hadisosyal.com(herkese açık etkinlik listesi; ayrı ürün) ve üçüncü taraf hizmetler- Kendiliğinden sonuç doğurmayan bulgular: eksik güvenlik başlığı (somut etki yoksa), SPF/DMARC, yazılım sürümü ifşası, çıkış (logout) CSRF’si, root/jailbreak gerektiren istemci bulguları
Kurallar
Section titled “Kurallar”- Yalnızca sandbox’ta ve kendi test hesaplarınla dene; üretimde bir açık görürsen orada durup bildir.
- Üye verisi gördüysen kopyalama, saklama ya da paylaşma; bildirimde yalnızca kanıt için gereken en azını kullan.
- Bildirimden önce herhangi bir yerde açıklama; düzeltme yayımlanana kadar (en geç 90 gün) gizli tut.
- Aynı açığı ilk bildiren ödül alır. Otomatik tarayıcı çıktıları tek başına bildirim sayılmaz.
Yanıt süreleri
Section titled “Yanıt süreleri”| Önem | İlk yanıt | Düzeltme hedefi |
|---|---|---|
| Kritik | 24 saat | 7 gün |
| Yüksek | 3 iş günü | 30 gün |
| Orta | 5 iş günü | 90 gün |
| Düşük | 10 iş günü | planlı |
Ödüller (Elmas)
Section titled “Ödüller (Elmas)”Ödüller HADİ Elmas’ı olarak, bildiren araştırmacının HADİ hesabına yüklenir. Önem; CVSS 3.1 temel puanı ve HADİ’ye özgü etkiyle belirlenir (para, doğrudan mesaj ve sağlık verisine yetkisiz erişim kritik sayılır).
| Önem | Ödül |
|---|---|
| Kritik | 25.000 💎 |
| Yüksek | 10.000 💎 |
| Orta | 2.500 💎 |
| Düşük | Teşekkür listesi |
Tutarlar Elmas cinsinden sabittir (bugünkü fiyatlandırmada 1 💎 ≈ 1 TL; kur değişse de ödül Elmas olarak aynı kalır).
Ödül Elmas’ı nerede geçer? Ödül, HADİ’nin karşıladığı promosyon Elmas’ı olarak yüklenir ve satın alınmış Elmas gibi harcanır: etkinlik bileti, paylaşımlı yolculuk, hediye, bağış, işletme siparişleri ve diğer Elmas’lı hizmetler. TL’ye çevrilmez, iade edilmez, başkasına satılamaz; Hareketler’de promosyon Elmas yüklemesi olarak, “Güvenlik ödülü” açıklamasıyla görünür.
Koşullar: HADİ üyesi olmak ve 18 yaşını doldurmuş olmak; HADİ çalışanları, ekip üyeleri ve yakınları ödül alamaz; yaptırım listelerindeki kişilere ödül verilmez. Ödül nakit ödeme değildir; vergisel yükümlülük doğması hâlinde HADİ yürürlükteki mevzuata göre bilgilendirir. Program açıldığında bu sayfada duyurulur (dış sızma testi tamamlandıktan sonra); o zamana kadar security@hadisosyal.com sorumlu bildirim kanalı olarak çalışır ve kurallara uyan bildirimler güvenli limandan yararlanır.
Güvenli liman
Section titled “Güvenli liman”Bu kurallara iyi niyetle uyan araştırmaya karşı hukuki işlem başlatmayız; araştırmanın yetkili olduğunu kabul eder, gerekirse bunu üçüncü taraflara da beyan ederiz. Kurallar dışına çıkan (ör. gerçek üye verisine erişen, hizmeti aksatan) çalışmalar güvenli limanın dışındadır.
Teşekkür
Section titled “Teşekkür”İzin veren araştırmacıları düzeltmeden sonra bu sayfada adıyla anarız.