الأمان

تُخزَّن بياناتك في الاتحاد الأوروبي. أما EXITO Media LLC، التي تدير الخدمة، فهي شركة أمريكية؛ وتوضح سياسة الخصوصية ما يعنيه ذلك لبياناتك.

كيفية تكامل المكوّنات

• خادم واحد مُحصّن. يعمل تطبيق الويب وخادم البريد Stalwart، الذي نشغّله بأنفسنا، وقواعد بيانات PostgreSQL وذاكرة التخزين المؤقت في حاويات معزولة على خادمنا. ولا يمكن الوصول إلى قواعد البيانات أو ذاكرة التخزين المؤقت أو واجهة إدارة خادم البريد إلا من داخل الخادم، ولا يمكن الوصول إليها مطلقًا عبر الإنترنت.
• المحتوى في تخزين الكائنات. يُخزَّن محتوى الرسائل والمرفقات وملفات Exito Vault وملفات Exito Transfer في تخزين الكائنات، بمعزل عن الخادم. وتُنقل ملفات Exito Vault وExito Transfer بالتحميل والتنزيل مباشرةً بين متصفحك ومساحة التخزين (Wasabi أو Cloudflare R2)، باستخدام روابط موقّعة قصيرة الأجل لا يعمل كل منها إلا لملف واحد، ولذلك يرى مزوّد التخزين عنوان IP الخاص بك أيضًا.
• اتصال البريد بخادمنا مباشرةً. تتصل خوادم البريد الأخرى وتطبيقات البريد التي تستخدم SMTP أو IMAP أو JMAP على mail.exitomail.com بخادمنا مباشرةً، ولا تمر عبر Cloudflare مطلقًا. ونرسل البريد من عناوين IP الخاصة بنا، من دون خدمة ترحيل تابعة لجهة خارجية.
• تطبيق الويب خلف Cloudflare. يُقدَّم موقعنا وتطبيق الويب على exitomail.com (شاشات بريد الويب وExito Vault وExito Transfer في متصفحك) عبر شبكة Cloudflare التي تحميهما من الهجمات. وينتهي اتصالك المشفّر عند حافة شبكة Cloudflare، التي تعيد توجيه حركة البيانات إلى خادمنا؛ وهذا يعني أن الرسائل والملفات التي تفتحها في تطبيق الويب تمر عبر Cloudflare أثناء النقل.

أثناء النقل

• الويب. تُقدَّم كل صفحة وواجهة API عبر HTTPS، مع استخدام HTTP Strict Transport Security (HSTS) لمنع المتصفحات من الرجوع إلى اتصالات غير مشفّرة. وتصدر الشهادات عن Let's Encrypt وتُجدَّد تلقائيًا.
• تطبيقات البريد. لا يتوفر IMAP (المنفذ 993) وإرسال SMTP (المنفذان 465 و587) إلا عبر TLS، ولذلك لا تُرسل كلمة المرور والرسائل بنص واضح بين جهازك وخوادمنا مطلقًا.
• بين الخوادم. عند تبادل البريد مع مزوّدين آخرين، نستخدم STARTTLS متى كان الطرف الآخر يدعمه. وننشر سياسة MTA-STS حتى تعرف الخوادم الأخرى أن عليها اشتراط TLS عند تسليم البريد إلينا، كما نتلقى تقارير TLS‏ (TLS-RPT) حتى نرصد مشكلات التسليم. وكما هو متّبع في البريد الإلكتروني، إذا كان الخادم الآخر لا يدعم TLS ولا ينشر سياسة تشترطه، فقد تنتقل الرسالة بين الخادمين من دون تشفير.

أثناء التخزين

يُخزَّن محتوى الرسائل والمرفقات وملفات Exito Vault وملفات Exito Transfer والنسخ الاحتياطية في تخزين كائنات يشفّره مزوّدونا أثناء التخزين. وتُشفَّر النسخ الاحتياطية أيضًا على خادمنا، باستخدام مفتاح نتحكم فيه، قبل تحميلها.

مصادقة البريد

تُوقَّع كل رسالة نرسلها باستخدام DKIM (بمفتاحَي Ed25519 وRSA)، وينشر نطاقنا سجلات SPF وDMARC، حتى تتمكن الخوادم المستلِمة من التحقق من أن البريد صادر عنا بالفعل. وعند ربط نطاق مخصّص، نزودك بالسجلات نفسها لنشرها ونتحقق منها قبل تفعيل نطاقك.

• الحد الأدنى من الصلاحيات. لا يمكن إدارة أنظمتنا إلا لعدد قليل من الأشخاص المحددين، ولا يُمنح كل منهم سوى صلاحيات الوصول التي يتطلبها دوره. وتُراجع صلاحيات الوصول بانتظام وتُلغى فور مغادرة الشخص.
• مفاتيح SSH فقط. يستخدم الوصول الإداري إلى خادمنا مفاتيح SSH. وقد عُطّل تسجيل الدخول بكلمة المرور.
• المصادقة المتعددة العوامل. نستخدم المصادقة المتعددة العوامل في وحدات التحكم الإدارية لدى مزوّدي خدمات الاستضافة ومساحة التخزين وDNS والدفع، وكذلك في حسابات المشرفين لدينا.
• بيانات اعتماد منفصلة. يستخدم كل مكوّن من مكوّنات الخدمة بيانات اعتماد خاصة به، ولا تُمنح إلا الأذونات التي يحتاج إليها؛ فمثلًا، لكل قاعدة بيانات دور خاص بها.
• سجل التدقيق. تُسجَّل الإجراءات الإدارية في أدواتنا، مثل تعليق حساب، في سجل تدقيق.

متى يجوز لموظفينا الوصول إلى محتواك

لا نتصفح رسائلك أو ملفاتك أو عمليات النقل الخاصة بك. ولا يصل موظفونا إلى المحتوى إلا عند الضرورة:

• لمساعدتك، عندما تطلب منا الاطّلاع على شيء محدد؛
• للتحقيق في مشكلة أمنية أو بلاغ عن إساءة استخدام؛ أو
• للامتثال لالتزام قانوني، على النحو الموضح في سياسة الخصوصية.

يقتصر هذا الوصول على ما تتطلبه المهمة، ويُسجَّل في حالة الدعم أو إساءة الاستخدام ذات الصلة.

• كلمات المرور. يجب ألا يقل طول كلمات المرور عن 10 أحرف. ولا نخزّنها إلا في صورة تجزئات أحادية الاتجاه ومملّحة، ولا نخزّنها مطلقًا بنص واضح، ولذلك لا يمكن حتى لنا رؤيتها.
• المصادقة الثنائية. يمكنك إضافة خطوة ثانية إلى تسجيل الدخول باستخدام تطبيق مصادقة. ونوصي بذلك بشدة، ولا سيما لمالكي المؤسسات والمشرفين.
• تحديد معدل تسجيل الدخول. يُحدَّد معدل محاولات تسجيل الدخول لإبطاء تخمين كلمة المرور.
• البريد الإلكتروني المخصّص للاسترداد. نوصي بإضافة بريد إلكتروني مخصّص للاسترداد والتحقق منه. لا تُرسل روابط إعادة تعيين كلمة المرور إلا إلى عنوان استرداد تم التحقق منه، ولا تُرسل مطلقًا إلى صندوق البريد الذي تعذّر عليك الوصول إليه. وتنتهي صلاحيتها بعد 30 دقيقة، كما تؤدي إعادة تعيين كلمة المرور إلى تسجيل خروجك من جميع الجلسات الأخرى.
• الجلسات. تحمل ملفات تعريف ارتباط الجلسة السمتين HttpOnly وSecure، وتُفحص الطلبات للحماية من تزوير الطلبات عبر المواقع. وتنتهي الجلسات بعد 30 يومًا من عدم الاستخدام. ويتطلب تغيير كلمة المرور أو البريد الإلكتروني المخصّص للاسترداد أو إعدادات المصادقة الثنائية، أو حذف الحساب، إدخال كلمة المرور الحالية.
• إشعارات الأمان. عند تغيير كلمة المرور، نرسل إليك إشعارًا بالبريد الإلكتروني على عنوان الاسترداد الذي تم التحقق منه.

• مفاتيح DKIM. ينشئ خادم البريد لدينا مفاتيح توقيع DKIM الخاصة به (Ed25519 وRSA). ويدوّرها كل 90 يومًا لنطاقنا وللنطاقات المخصّصة التي يدير DNS لها تلقائيًا.
• شهادات TLS. تُصدر الشهادات وتُجدَّد تلقائيًا، فلا تنتهي صلاحيتها مطلقًا.
• الأسرار. تُحفظ كلمات المرور ومفاتيح API وغيرها من الأسرار خارج قاعدة التعليمات البرمجية، على الخادم، ولا يمكن قراءتها إلا من خلال حساب المشرف عليه. ولا تظهر مطلقًا في مستودع التعليمات البرمجية المصدرية لدينا.
• مفاتيح النسخ الاحتياطية. تُشفَّر النسخ الاحتياطية بزوج مفاتيح لا يُحتفظ بنصفه الخاص إلا في وضع غير متصل بالإنترنت، وليس على خوادمنا مطلقًا. ولذلك يمكن استعادة النسخ الاحتياطية حتى عند فقدان الخادم، ولا تفيد أي شخص لا يحصل إلا على ملفات النسخ الاحتياطية.
• خطافات الويب المتحقَّق منها. لا تُقبل إشعارات الدفع الواردة من Stripe إلا إذا كانت تحمل توقيعًا مشفّرًا صالحًا.
• تدوير بيانات الاعتماد. ندوّر بيانات الاعتماد عند مغادرة أي شخص لديه صلاحية الوصول، وفورًا كلما اشتبهنا في انكشاف بيانات اعتماد.

• السجلات. تحتفظ خوادمنا بسجلات الأمان والوصول وتسليم البريد، بما فيها عناوين IP، لمدة 30 يومًا. ونستخدمها لاستمرار تشغيل الخدمة والتحقيق في المشكلات واكتشاف إساءة الاستخدام، ولا نستخدمها مطلقًا للإعلانات أو إنشاء الملفات الشخصية.
• المراقبة الآلية. يفحص مراقب آلي حاوياتنا والموقع الإلكتروني وخدمة SMTP وانتهاء صلاحية شهادة IMAPS ومساحة القرص والمدة المنقضية منذ أحدث نسخة احتياطية كل 5 دقائق، وينبهنا عند حدوث أي تغيير.
• منع التسلل. تُحظر تلقائيًا العناوين التي تتكرر منها محاولات فاشلة لتسجيل الدخول إلى الخادم.
• تقارير البريد. نراجع تقارير DMARC المجمّعة وتقارير TLS لنطاقنا لاكتشاف انتحال الهوية ومشكلات التسليم.

• ما تشمله النسخ الاحتياطية. نُنشئ كل ليلة نسخة من كل قاعدة بيانات لدينا، بما يشمل الحسابات والإعدادات والبيانات الوصفية للبريد والفهارس وسجلات Exito Vault وعمليات النقل، ومن إعدادات خادمنا.
• مكان التخزين. في منطقة EU-Central-1 (أمستردام) التي تديرها Wasabi، بصورة منفصلة عن منطقة فرانكفورت التي تحتوي على بريدك وملفاتك.
• كيفية الحماية. تُشفَّر النسخ الاحتياطية على خادمنا قبل تحميلها، باستخدام تشفير المفتاح العام. ولا يُحتفظ بالمفتاح الخاص اللازم لفك تشفيرها إلا في وضع غير متصل بالإنترنت، وليس على خوادمنا مطلقًا.
• مدة الاحتفاظ. 30 يومًا، وفق نظام متجدد. ويعني ذلك أيضًا أن البيانات التي تحذفها قد تظل في النسخ الاحتياطية حتى يحين دور حذفها.
• استعادة النسخ الاحتياطية. لدينا إجراء موثّق لإعادة إنشاء الخادم واستعادة قواعد البيانات من النسخ الاحتياطية.

الغرض من النسخ الاحتياطية هو التعافي من الكوارث. ولا تُستخدم لأي غرض آخر، وإذا استعدنا إحداها في أي وقت، نحذف مجددًا أي بيانات سبق حذفها.

لدينا إجراء مكتوب للتعامل مع الحوادث الأمنية، ونتبع الخطوات الآتية:

1. 1
   الكشف
   من خلال المراقبة والتنبيهات الآلية، وبلاغات المستخدمين والباحثين الأمنيين، وإشعارات مزوّدي خدماتنا.
2. 2
   الاحتواء
   نعزل الأنظمة المتأثرة، ونلغي بيانات الاعتماد والمفاتيح المكشوفة، ونحظر حركة البيانات الضارة، ونعلّق الحسابات المسيئة.
3. 3
   التقييم
   نحدّد ما حدث والبيانات والأشخاص المتأثرين ومدى خطورة المخاطر، مع الحفاظ على الأدلة طوال العملية.
4. 4
   الإخطار
   عندما يستلزم خرق للبيانات الشخصية ذلك بموجب اللائحة العامة لحماية البيانات (GDPR)، نُخطر السلطة الإشرافية المختصة خلال 72 ساعة من علمنا به، ونُبلغ الأشخاص المتأثرين دون تأخير لا مبرر له عندما تكون المخاطر التي تهددهم مرتفعة. ويُخطر عملاء Business، بصفتنا معالج البيانات لديهم، دون تأخير لا مبرر له وخلال 72 ساعة، على النحو المحدد في اتفاقية معالجة البيانات. وتُنشر حالات انقطاع الخدمة على صفحة الحالة.
5. 5
   التعافي والتعلّم
   نستعيد الخدمة من مصادر سليمة، ثم نراجع الحادث لتحديد سببه الجذري وتحسين تدابيرنا لمنع تكراره.

• نظام التشغيل. تُثبَّت التحديثات الأمنية تلقائيًا.
• البرامج التي نشغّلها. تشغّل حاوياتنا إصدارات محددة من برامجها، بما فيها خادم البريد Stalwart وPostgreSQL وخادم الويب. ونتابع إصداراتها الأمنية ونحدّثها على الفور بعد قراءة ملاحظات الإصدار وإنشاء نسخة احتياطية.
• التبعيات. نراقب تبعيات تطبيقنا ونحافظ على تحديثها.
• البلاغات الخارجية. نرحب ببلاغات الباحثين الأمنيين، ونعالج المشكلات المؤكدة ضمن المدد المستهدفة وفقًا لدرجة خطورتها (راجع الإفصاح المسؤول).

• المراجعة. تُراجع التغييرات قبل نشرها، وتُنفَّذ عمليات النشر باستخدام نصوص برمجية قابلة للتكرار.
• وسائل حماية مضمّنة. تعليمات برمجية ذات أنواع صارمة، والتحقق من صحة المدخلات، والحماية من تزوير الطلبات عبر المواقع، وتحديد المعدل، وترويسات الأمان في كل استجابة، بما فيها HSTS ومنع تضمين الصفحات في إطارات والحماية من استنتاج نوع المحتوى.
• بيئات منفصلة. تستخدم بيئة التطوير بدائل محلية لمساحة التخزين وقواعد البيانات، مع بيانات تجريبية خيالية. ولا تُستخدم بيانات بيئة الإنتاج مطلقًا في التطوير أو الاختبار، ولا تغادر أسرارها بيئة الإنتاج مطلقًا.
• أقل قدر من المكوّنات. لا تُشغَّل في موقعنا أو تطبيقنا أي تعليمات برمجية تابعة لجهات خارجية لأغراض التحليلات أو الإعلانات، ونعطّل القياس عن بُعد في مكتبات الجهات الخارجية حيثما أمكن.

نحافظ على محدودية عدد الشركات التي تتعامل مع بياناتك. ونختارها بناءً على موقع بياناتها في الاتحاد الأوروبي وممارساتها الأمنية وإثباتات الأمان المنشورة لديها، ونبرم اتفاقية لمعالجة البيانات مع كل منها. كما نراجعها دوريًا.

ترد القائمة الكاملة، موضحةً ما تفعله كل شركة وأين وتحت أي ضمانات، في صفحة المعالِجين الفرعيين. ونعلن عن المعالِجين الفرعيين الجدد قبل بدء معالجة بيانات العملاء بـ30 يومًا على الأقل؛ ولتلقي إشعار عبر البريد الإلكتروني، راسل privacy@exitomail.com واستخدم موضوع الرسالة «Subprocessor updates».

نوضح بشفافية كيفية إنشاء ExitoMail. يعمل التطبيق حاليًا على خادم أساسي واحد في مركز بيانات داخل الاتحاد الأوروبي. ويُحتفظ بمحتوى بريدك وملفاتك بصورة منفصلة في تخزين الكائنات مع تكرار يديره مزوّد الخدمة، كما تُحفظ نسخ احتياطية مشفّرة من كل ما عدا ذلك في منطقة ثانية داخل الاتحاد الأوروبي.

• في حال تعطل الخادم. نتبع إجراءً موثّقًا لإعادة إنشاء الخادم من البداية على أجهزة جديدة واستعادة قواعد البيانات من أحدث نسخة احتياطية. ونظرًا إلى إنشاء النسخ الاحتياطية كل ليلة، فقد تُفقد في أسوأ الحالات التغييرات التي أُجريت منذ آخر نسخة احتياطية.
• انتظار البريد الوارد أثناء انقطاع الخدمة. عندما يتعذّر الوصول إلى خادمنا، تضع خوادم البريد المرسِلة الرسائل في قائمة انتظار وتعيد محاولة تسليمها، عادةً لعدة أيام، وفقًا لما تقتضيه معايير البريد الإلكتروني.
• الحالة. تُنشر أعمال الصيانة المخططة وحالات انقطاع الخدمة على صفحة الحالة لدينا.

نبذل قصارى جهدنا لإبقاء ExitoMail متاحًا، لكننا لا نضمن مدة تشغيل محددة ما لم نبرم معك اتفاقية مكتوبة لمستوى الخدمة. ولا تشمل الخطة المجانية أي اتفاقية لمستوى الخدمة.

تؤدي الحيلولة دون استخدام مرسلي الرسائل غير المرغوب فيها والمحتالين للخدمة إلى حماية بريد الجميع، إذ تحافظ على السمعة الجيدة لخوادمنا حتى تصل رسائلك إلى البريد الوارد.

• حدود الإرسال. لكل حساب حد يومي للإرسال (مثلًا، 100 رسالة يوميًا في خطة مجاني). وتكون الحدود أقل في البداية للحسابات الجديدة، ثم تزداد مع عمر الحساب ودرجة موثوقيته.
• عمليات التحقق عند التسجيل. يُحدَّد معدل عمليات التسجيل لكل عنوان IP، وتُرفض عناوين الاسترداد المؤقتة، ويعمل اختبار Cloudflare Turnstile في نموذج التسجيل للتحقق من أن المستخدم ليس برنامجًا آليًا.
• الإنفاذ الآلي. يراقب نظام الإنفاذ الآلي لدينا شكاوى الرسائل غير المرغوب فيها والرسائل المرتدة والإدراج في قوائم الحظر ونتائج فحص البرمجيات الضارة وعلامات الاستيلاء على الحسابات والبلاغات. ويمكنه تقييد الإرسال أو تعليقه، وتعليق الحسابات أو النطاقات، وحظر عمليات النقل، وعزل الملفات، وحظر عناوين IP المهاجمة. ويمكن التراجع عن تدابيره، ويُبلَّغ المستخدمون بأسبابها، ويراجع شخص كل طلب استئناف (راجع سياسة الاستخدام المقبول).
• لا ترحيل مفتوح. يتطلب الإرسال دائمًا المصادقة، ولا يمكنك الإرسال إلا من العناوين والنطاقات التابعة لحسابك.
• التصفية. يُفحص البريد الوارد بحثًا عن الرسائل غير المرغوب فيها ضمن بنيتنا التحتية، وقد يُفحص بحثًا عن البرمجيات الضارة. ولإجراء ذلك، قد تبحث خوادمنا عن عنوان IP أو نطاق الخادم المرسِل في قوائم حظر DNS العامة.
• النطاقات التي تم التحقق منها. لا يبدأ النطاق المخصّص في تلقي البريد أو إرساله إلا بعد إثبات ملكيتك له باستخدام سجل DNS TXT، وبذلك لا يمكن لأحد المطالبة بنطاق لا يملكه.
• Exito Transfer. قد نفحص الملفات المحمّلة بحثًا عن البرمجيات الضارة ونحظر الملفات التي تم الإبلاغ عنها. وتنتهي صلاحية الروابط دائمًا، ويمكن للمستلِمين الإبلاغ عن عملية نقل بنقرة واحدة.

للإبلاغ عن رسائل غير مرغوب فيها أو تصيّد احتيالي أو غير ذلك من إساءة الاستخدام التي تتضمن ExitoMail، يُرجى مراسلة abuse@exitomail.com. وللإبلاغ عن محتوى غير قانوني بموجب قانون الخدمات الرقمية للاتحاد الأوروبي، استخدم عملية الإشعار والإجراء لدينا. وترد قواعدنا في سياسة الاستخدام المقبول.

• اللائحة العامة لحماية البيانات. بصفتنا شركة أمريكية تقدم الخدمة في الاتحاد الأوروبي، نخضع للائحة العامة لحماية البيانات (المادة 3(2)). ونحن المتحكم في بيانات الحسابات الشخصية والبيانات التي نحتاج إليها لتشغيل أعمالنا، على النحو الموضح في سياسة الخصوصية. وبالنسبة إلى عملاء الشركات، نعمل بصفتنا معالج البيانات بموجب اتفاقية معالجة البيانات، وترد الشركات التي تساعدنا في صفحة المعالِجين الفرعيين.
• قانون الخدمات الرقمية. بصفتنا خدمة استضافة، نطبّق عملية للإشعار بالمحتوى غير القانوني واتخاذ إجراء بشأنه، ونوضح قراراتنا ونوفر إمكانية الاستئناف. راجع الإشعار والإجراء.
• الخصوصية الإلكترونية. لا نستخدم إلا ملفات تعريف الارتباط ووسائل التخزين الضرورية للغاية. راجع سياسة ملفات تعريف الارتباط لدينا.
• سلامة الأطفال. بصفتنا مزوّد خدمة أمريكيًا، نبلغ NCMEC عن أي مواد تبدو متعلقة باعتداء جنسي على الأطفال، وفقًا لما تقتضيه 18 U.S.C. § 2258A.
• ISO/IEC 27001:2022 وISO/IEC 27701. صُمم برنامجنا الأمني استنادًا إلى هذين المعيارين. ولا ندّعي حصولنا على شهادة مطابقة.

إذا كنت تعتقد أنك عثرت على ثغرة أمنية في ExitoMail، فيُرجى إبلاغنا بها. سنتعاون معك لفهمها وإصلاحها، ولن نتخذ أي إجراء قانوني ضد الأبحاث التي تُجرى بحسن نية وتتبع هذه السياسة.

كيفية الإبلاغ

أرسل رسالة إلى security@exitomail.com. يُرجى تضمين ما يأتي:

• وصف للثغرة وعنوان URL أو المضيف أو المكوّن المتأثر؛
• تعليمات مفصّلة خطوة بخطوة لإعادة حدوثها، وإثباتًا للمفهوم إن توفر لديك (تساعد لقطات الشاشة أو مقطع فيديو قصير)؛
• الأثر الذي تعتقد أنها تُحدثه، وكيف يمكن لمهاجم استغلالها؛ و
• كيفية التواصل معك، وما إذا كنت ترغب في ذكر اسمك تقديرًا لمساهمتك.

إذا كان بلاغك يتضمن تفاصيل حساسة، فاطلب منا أولًا قناة آمنة. يُرجى عدم إرسال برامج ضارة أو تعليمات برمجية لاستغلال ثغرات تعمل تلقائيًا في صورة مرفق.

هذا العنوان مخصّص للثغرات الأمنية فقط. للإبلاغ عن رسائل غير مرغوب فيها أو تصيّد احتيالي، راسل abuse@exitomail.com؛ وللحصول على مساعدة بشأن حسابك، راسل support@exitomail.com.

النطاق

يشمل النطاق:

• exitomail.com وجميع نطاقاته الفرعية، بما فيها mail.exitomail.com‏ (SMTP وIMAP وJMAP والتهيئة التلقائية وMTA-STS)؛
• تطبيق الويب: بريد الويب وExito Vault (بما في ذلك روابط المشاركة) وExito Transfer (بما في ذلك صفحات التنزيل وروابط «طلب ملفات») وإعدادات الحساب وإدارة الفريق والعناوين للنطاقات المخصّصة؛
• واجهات API وعمليات التسجيل وتسجيل الدخول والمصادقة الثنائية واسترداد الحساب؛ و
• كيفية تعاملنا مع النطاقات المخصّصة (مثل التحقق من النطاق). ولا يشمل النطاق نطاقات العملاء ومواقعهم الإلكترونية.

لا يشمل النطاق:

• هجمات حجب الخدمة أو اختبارات الحمل أو أي اختبارات لحجم حركة البيانات؛
• الهندسة الاجتماعية أو التصيّد الاحتيالي لموظفينا أو مستخدمينا، والهجمات المادية على المكاتب أو مراكز البيانات؛
• إرسال رسائل غير مرغوب فيها أو محاولة اكتشاف كلمات المرور بالقوة الغاشمة، من دون إثبات وجود ثغرة أساسية؛
• غياب الترويسات أو الإعدادات الموصى بها (مثل غياب ترويسة أمان) من دون إثبات أثر لذلك؛
• هجمات self-XSS والمشكلات التي تتطلب جهازًا أو حسابًا مخترقًا بالفعل؛
• خدمات الجهات الخارجية نفسها، مثل Cloudflare أو Stripe أو Wasabi (يُرجى إبلاغ مزوّد الخدمة بها)؛ و
• نتائج أدوات الفحص الآلي من دون إثبات مفهوم صالح للعمل.

قواعد المشاركة

• استخدام حساباتك فقط. اختبر باستخدام الحسابات التي أنشأتها بنفسك فقط. ولا تتفاعل مع حسابات المستخدمين الآخرين أو بياناتهم من دون إذنهم.
• التوقف عند الوصول إلى بيانات الآخرين. إذا صادفت بيانات شخص آخر، فتوقف ولا تحتفظ بها أو تستخدمها أو تشاركها، وأبلغنا بها فورًا.
• الحد الأدنى من الإثبات. لا تنسخ أو تستخرج بيانات تتجاوز الحد الأدنى اللازم لإثبات المشكلة.
• عدم الإضرار. لا تتسبب في تدهور الخدمة، ولا تحذف أو تغيّر بيانات لا تخصك، ولا ترسل بريدًا إلى أشخاص لم يوافقوا على تلقيه. والتزم بحدود الإرسال في حسابك.
• إتاحة الوقت لنا. حافظ على سرية التفاصيل إلى أن نصدر إصلاحًا أو تنقضي 90 يومًا على بلاغك، أيهما يحدث أولًا. وإذا احتاج الإصلاح إلى مزيد من الوقت، فسنوضح السبب ونتفق معك على موعد جديد.

الملاذ الآمن

إذا بذلت جهدًا بحسن نية للالتزام بهذه السياسة، فسنعتبر بحثك مصرّحًا به، ولن نتخذ أو ندعم أي إجراء قانوني ضدك بسببه، ولن نبلغ سلطات إنفاذ القانون عنك. ونتنازل عن القيود الواردة في شروط الخدمة وسياسة الاستخدام المقبول بالقدر اللازم لإجراء البحث بموجب هذه السياسة. وإذا اتخذت جهة خارجية إجراءً قانونيًا ضدك بسبب بحث أُجري بموجب هذه السياسة، فسنوضح أنك تصرفت وفقًا لها.

لا يشمل هذا الملاذ الآمن سوى أنظمتنا؛ ولا يمكننا التصريح باختبار خدمات شركات أخرى. وإذا لم تكن متأكدًا مما إذا كان شيء ما مسموحًا به، فاسألنا أولًا على security@exitomail.com.

التزاماتنا

التقدير

لا ندير حاليًا برنامجًا مدفوعًا لمكافآت اكتشاف الثغرات. ويسعدنا، بعد إصلاح المشكلة وبإذن منك، أن نشكرك علنًا على البلاغ الصحيح.

security.txt

يسرد ملفنا security.txt (يُفتح في علامة تبويب جديدة) الموجود في /.well-known/security.txt ‏(RFC 9116) جهة الاتصال الأمنية لدينا، ويتضمن رابطًا إلى هذه السياسة.