سیاست امنیت و گزارش آسیب‌پذیری سواپ‌ولت

۱دامنه

1. ۱-۱
   این سیاست همه‌ی سرویس‌هایی را در بر می‌گیرد که شرکت زنجیره‌ی تبدیل سوبا با نام سواپ‌ولت ارائه می‌کند: دامنه‌ی swapwallet.app و زیردامنه‌های آن، نسخه‌ی وب، اپلیکیشن‌های اندروید، مینی‌اپ تلگرام و ربات‌های رسمی سواپ‌ولت.
2. ۱-۲
   رابط‌های برنامه‌نویسی هم در دامنه‌اند: API عمومی (docs.swapwallet.app) و سرور MCP به نشانی swapwallet.app/mcp با سازوکار ورود OAuth آن.
3. ۱-۳
   سرویس‌های اشخاص ثالث، مانند خود تلگرام، بانک‌ها، درگاه‌های پرداخت و فروشگاه‌های اپلیکیشن، بیرون از این دامنه‌اند. اگر ضعفی در آن‌ها پیدا کردید، به صاحب همان سرویس گزارش دهید.

۲چطور گزارش دهیم

1. ۲-۱
   گزارش را در تلگرام برای t.me/SadeghHayeri بفرستید. این نشانی را یک نفر از تیم فنی سواپ‌ولت مستقیم می‌خواند.
2. ۲-۲
   گزارش به فارسی یا انگلیسی پذیرفته می‌شود. یک گزارش خوب این‌ها را دارد: بخش یا نشانی آسیب‌پذیر، مراحل دقیق بازتولید، اثر واقعی مشکل (چه کسی به چه چیزی دسترسی پیدا می‌کند) و در صورت امکان یک اثبات مفهوم.
3. ۲-۳
   اگر برای اثبات مشکل ناچار به اطلاعات کاربر دیگری دست یافتید، آن اطلاعات را در گزارش نفرستید. نوع داده و مسیر دسترسی به آن کافی است.
4. ۲-۴
   گزارش آسیب‌پذیری را از طریق پشتیبانی نفرستید. آن مسیر برای پرسش‌های حساب کاربری است و گزارش امنیتی در آن دیرتر به دست تیم فنی می‌رسد.

۳قواعد آزمون

آزمونی که از این مرزها بگذرد، دیگر پژوهش با حسن نیت به حساب نمی‌آید:

1. ۳-۱
   فقط از حساب‌هایی استفاده کنید که متعلق به خودتان است. به حساب، اطلاعات یا دارایی کاربران دیگر دسترسی پیدا نکنید، آن را تغییر ندهید و جابه‌جا نکنید.
2. ۳-۲
   اگر به داده یا دارایی‌ای رسیدید که مال شما نیست، همان‌جا متوقف شوید، چیزی ذخیره نکنید و موضوع را گزارش دهید.
3. ۳-۳
   حمله‌ی از کار انداختن سرویس (DoS)، ارسال درخواست انبوه، اسپم و اسکن خودکاری که بار محسوسی روی سرویس بگذارد، مجاز نیست.
4. ۳-۴
   مهندسی اجتماعی، فیشینگ و هر نوع فریب کارکنان یا کاربران سواپ‌ولت، و دسترسی فیزیکی به دفاتر و تجهیزات، مجاز نیست.
5. ۳-۵
   گزارش خروجی ابزارهای خودکار بدون اثر اثبات‌شده، مانند نبود یک سرآیند امنیتی یا تنظیمات SPF و DMARC، آسیب‌پذیری به حساب نمی‌آید.
6. ۳-۶
   تا زمانی که مشکل رفع و انتشار آن با ما هماهنگ نشده، جزئیاتش را با کسی در میان نگذارید.
7. ۳-۷
   گزارش را مشروط به دریافت پول نکنید. درخواست پول در ازای افشا نکردن، اخاذی است.

۴تعهدات سواپ‌ولت

1. ۴-۱
   دریافت گزارش را تأیید می‌کنیم، آن را بررسی می‌کنیم و شما را از نتیجه و روند رفع مشکل باخبر نگه می‌داریم.
2. ۴-۲
   اگر پژوهشی با حسن نیت و طبق قواعد این صفحه انجام شده باشد، سواپ‌ولت علیه پژوهشگر اقدام قانونی نمی‌کند و از او شکایتی نخواهد داشت.
3. ۴-۳
   اطلاعات تماس و هویت گزارش‌دهنده را محرمانه نگه می‌داریم و بدون اجازه‌ی خودش، نامی از او نمی‌بریم.

۵امنیت حساب شما

این موارد آسیب‌پذیری نیستند و باید با پشتیبانی در میان گذاشته شوند:

1. ۵-۱
   اگر فکر می‌کنید کسی به حسابتان دسترسی پیدا کرده، همین حالا با پشتیبانی تماس بگیرید و از فهرست دستگاه‌های متصل، دستگاه ناشناس را بیرون کنید.
2. ۵-۲
   شناسایی دوعاملی را روشن کنید تا رمز عبور به‌تنهایی برای ورود به حساب کافی نباشد.
3. ۵-۳
   سواپ‌ولت فقط روی دامنه‌ی swapwallet.app کار می‌کند و اپلیکیشن‌های رسمی آن فقط از صفحه‌ی دانلود در دسترس است. کارکنان سواپ‌ولت هرگز رمز عبور یا کد تأیید شما را نمی‌خواهند. اگر سایت یا حساب جعلی با نام سواپ‌ولت دیدید، نشانی آن را برای پشتیبانی بفرستید.