وجدت مشكلة أمنية؟ أخبرنا، وإليك ما يحدث بعد ذلك.

ما تغطيه هذه السياسة

تغطي هذه السياسة البرامج التي يصنعها SecureEyes والخدمات التي يشغّلها SecureEyes. وتسري على الإصدارات المدعومة حاليًا: إصدار التطبيق الحالي على App Store، وإصدار الـ Hub على قناة التحديثات، والخدمات كما تعمل اليوم. إن وجدت مشكلة في إصدار أقدم، فتحقق منها في الإصدار الحالي أولًا، فإن كانت لا تزال موجودة، فأبلغ عنها.

• تطبيق SecureEyes لأجهزة iPhone وiPad وMac، كما هو منشور على App Store.
• برنامج SecureEyes Hub: الخدمة الخلفية sehub، وأداتها المساعدة ذات الصلاحيات المرتفعة، وصفحة الإدارة الخاصة به على الويب، وأداة تثبيت الـ Hub على get.secureeyes.app.
• المُرحِّل على relay.secureeyes.app، وخادم الترخيص على license.secureeyes.app.
• هذا الموقع، secureeyes.app، وقناة تحديثات الـ Hub على updates.secureeyes.app.

كيف تبلّغ

البريد الإلكتروني هو القناة الوحيدة، ويصل إلى شخص، لا إلى قائمة انتظار. لا تبلّغ عن ثغرة عبر مراجعات App Store أو وسائل التواصل الاجتماعي أو بلاغ علني، حيث يقرؤها المهاجم قبلنا.

1. 01راسل security@secureeyes.app. تكفي رسالة بريد عادية. وإن كنت تفضّل التشفير، فاذكر ذلك في رسالة أولى وسنرتب معك مفتاحًا، فنحن لا ننشر مفتاح PGP بعد، والتشفير ليس مطلوبًا أبدًا.
2. 02اذكر المنتج والإصدار: إصدار التطبيق ورقم البنية (الإعدادات، حول)، أو إصدار الـ Hub (صفحة الإدارة الخاصة به، أو system/health)، أو الخدمة والوقت الذي رأيت فيه المشكلة.
3. 03صف ما فعلته وما رأيته، خطوة بخطوة، حتى نتمكن من تكرار المشكلة. يفيدنا إثبات مفهوم، أو طلب واستجابة، أو لقطة شاشة. وأخفِ أي كلمة مرور لكاميرا أو أي تسجيل قبل الإرسال.
4. 04اذكر ما تظن أن المهاجم قد يفعله بها، وهل لديك أي مؤشر على أنها تُستغل بالفعل. هذا السطر وحده يغيّر سرعة تحركنا.
5. 05أخبرنا كيف نتواصل معك، وهل تريد أن يُذكر اسمك عند نشر الإصلاح.

لا يوجد برنامج مكافآت للثغرات. لا ندفع مقابل البلاغات، ونفضّل أن نقول ذلك على أن نتركك تتوقع غيره. لكننا نصلح ما تجده، ونخبرك عندما يُصلَح، وننسب الفضل إليك إن أردت.

ما تتوقعه منا

1. 01إشعار باستلام بلاغك خلال 3 أيام عمل من رسالتك، من شخص، مع رقم مرجعي يمكنك الإشارة إليه.
2. 02تقييم أولي خلال 10 أيام عمل: هل تمكّنا من تكرار المشكلة، ومدى خطورتها في رأينا، وما نخطط لفعله.
3. 03تحديثات مع تقدّم الإصلاح، ورسالة عندما يُطرح. وإن احتجنا وقتًا أطول مما خططنا له، نخبرك قبل أن يحين الموعد، لا بعده.
4. 04إفصاح منسّق معك. المهلة الافتراضية 90 يومًا من تاريخ بلاغك. ننشر قبل ذلك عندما يكون الإصلاح قد طُرح وأُتيح للمستخدمين وقت للتحديث، وقد نطلب مدة أطول عندما يحتاج الإصلاح إلى دورة إصدار على App Store أو على قناة تحديثات الـ Hub، ولن نتجاوز 90 يومًا دون أن نخبرك بالسبب.
5. 05نسب الفضل إليك، إن أردت، في الملاحظة المنشورة عن الإصلاح. وإن فضّلت ألا يُذكر اسمك، فلن نذكره.

يقرأ SecureEyes البلاغات المرسلة إلى هذا العنوان ويتولى معالجتها. وقد نشارك المحتوى التقني لبلاغ ما مع جهة تتعلق بها الشيفرة أو الخدمة المعنية، مثل شركة مصنّعة لكاميرات، من أجل إصلاحه، ولا نشارك هويتك دون أن نسألك.

الملاذ الآمن للبحث بحسن نية

نريد أن نسمع من الذين يبحثون. إن بحثت في SecureEyes بحسن نية، والتزمت بالقواعد الواردة في القسم التالي، وأبلغتنا بما تجده، فلن نتخذ أي إجراء قانوني ضدك بسبب ذلك البحث، ولن نحيله إلى جهات إنفاذ القانون. وإن رفعت جهة خارجية، مثل شركة مصنّعة لكاميرات أو مزوّد استضافة، دعوى قانونية ضدك بسبب بحث التزم بهذه القواعد، فسنعلن أن بحثك كان مصرّحًا به بموجب هذه السياسة.

حسن النية يعني أنك حاولت تجنّب الضرر، ولم تأخذ أكثر مما يلزم لإظهار المشكلة، وأبقيت ما وجدته سرًا حتى موعد الإفصاح الذي اتفقنا عليه، ولم تستخدمه لأي غرض آخر. هذه السياسة ليست إذنًا بمخالفة أي قانون، ولا نستطيع أن نأذن بالوصول إلى أنظمة ليست لنا.

القواعد

البحث الذي يلتزم بهذه القواعد يشمله الملاذ الآمن أعلاه. والبحث الذي لا يلتزم بها لا يشمله.

• لا تختبر إلا على أجهزة وكاميرات وأجهزة Hub وحسابات تملكها أو لديك إذن صريح باستخدامها، وعلى الموقع العام. وأي اختبار للمُرحِّل أو لخادم الترخيص يجب أن يستخدم الـ Hub الخاص بك وترخيصك أنت.
• لا تصل أبدًا إلى كاميرا شخص آخر أو تسجيلاته أو لقطاته أو أحداثه أو بيانات دخوله، ولا تشاهدها ولا تسجّلها ولا تحتفظ بها. إن كانت ثغرة ما تتيح لك ذلك، فتوقف عند إثبات أنها تتيحه، وأبلغ عنها. ولا تُثبت ذلك على كاميرا أي شخص آخر.
• لا هجمات حجب الخدمة. لا تُغرق المُرحِّل أو خادم الترخيص أو قناة التحديثات أو الموقع بالطلبات، ولا تختبر مقدار الحمل الذي تتحمله.
• لا هندسة اجتماعية تستهدف SecureEyes أو مزوّدي الاستضافة لديه أو المستخدمين الآخرين. لا تصيّد احتيالي، ولا مكالمات بذرائع كاذبة، ولا محاولات وصول مادي.
• في اللحظة التي تصل فيها إلى بيانات شخصية ليست لك، بما فيها التسجيلات، توقف، ولا تحتفظ بأي نسخة، وأبلغ عن ذلك. واذكر في البلاغ ما رأيته وأنك حذفته.
• لا تغيّر أو تحذف أو تزرع أي شيء على نظام لا تملكه. إثبات المفهوم يقرأ، ولا يكتب.
• احتفظ بما وجدته بينك وبيننا حتى موعد الإفصاح الذي نتفق عليه. لا تبعه، ولا تنشره مبكرًا، ولا تسلّمه لجهة خارجية، ولا تستخدمه للمطالبة بأي شيء.

خارج النطاق

لا نستطيع إصلاح ما يلي، والبلاغ عنه يذهب إلى الجهة القادرة على ذلك. وحيث نعرف تلك الجهة، سنخبرك بها.

• البرامج الثابتة للكاميرات، وتطبيقات الشركات المصنّعة وخدماتها السحابية. يتواصل SecureEyes مع الكاميرات عبر ONVIF وRTSP وواجهات HTTP الخاصة بالشركات المصنّعة، والثغرة في برنامج الكاميرا نفسها تصلحها الشركة المصنّعة. أبلغها بها، فلدى كثير منها صفحة أمان خاصة بها.
• متجر App Store وStoreKit وiCloud وسلسلة مفاتيح iCloud وأنظمة Apple الأخرى. أبلغ Apple بها.
• خدمات Amazon Web Services ومزوّدو الاستضافة والشبكات الآخرون الذين تعمل عليهم خوادمنا. أبلغ المزوّد بها.
• البلاغات التي تقتصر على نقل مخرجات أداة فحص، أو غياب ترويسة أمان في صفحة ثابتة، أو رقم إصدار برنامج، دون طريقة لاستغلال ذلك.
• كاميرا أو شبكة أخطأ مالكها في إعدادها، مثل كاميرا بكلمة مرورها الافتراضية، وهو ما يستطيع SecureEyes التحذير منه لكنه لا يستطيع تغييره.

إن لم تكن متأكدًا مما إذا كان أمر ما ضمن النطاق، فأرسله على أي حال. نفضّل أن نقرأ بلاغًا يتضح أنه يخص غيرنا على أن يفوتنا بلاغ يخصنا.

قانون المرونة السيبرانية في الاتحاد الأوروبي

يُعدّ SecureEyes، أي التطبيق والـ Hub، منتجًا ذا عناصر رقمية يُباع في الاتحاد الأوروبي، ويسري عليه قانون المرونة السيبرانية (اللائحة (EU) 2024/2847). هذا بيان بما نفعله بموجب القانون، وليس استشارة قانونية.

عندما نعلم بثغرة في SecureEyes تُستغل بشكل نشط، أو بحادث جسيم يؤثر في أمان SecureEyes، نبلّغ عنه عبر منصة الإبلاغ الموحدة التابعة لوكالة ENISA، إلى الجهات التي يحددها القانون، وفق الجدول الزمني الذي يحدده القانون: إنذار مبكر خلال 24 ساعة من علمنا به، وإخطار خلال 72 ساعة بما يكون معروفًا حينها عن الثغرة والتدابير المتخذة، وتقرير نهائي خلال 14 يومًا من توفر إصلاح أو إجراء للتخفيف (وخلال شهر واحد من الإخطار في حالة الحادث الجسيم).

نُبلغ المستخدمين المتأثرين دون تأخير لا مبرر له: على هذا الموقع، وفي ملاحظات إصدار التطبيق على App Store، وفي ملاحظات إصدار الـ Hub على صفحة التنزيل، بما كانت عليه المشكلة، والإصدارات التي تتأثر بها، وما يجب فعله. لا يحتفظ SecureEyes بحسابات مستخدمين ولا بقائمة بريدية، لذا لا توجد رسالة يمكننا إرسالها إليك مباشرةً، وهذه الصفحة وملاحظات الإصدار هي حيث يُعلن الخبر.

فترة الدعم

تُقدَّم الإصلاحات الأمنية لتطبيق SecureEyes ولـ SecureEyes Hub لمدة خمس سنوات من تاريخ كل إصدار. يُطرح الإصلاح في إصدار جديد: تحديث للتطبيق على App Store، وتحديث للـ Hub على قناة التحديثات الموقّعة، يعرضه الـ Hub والتطبيق عند نشره. وخلال فترة الدعم، الطريقة لتلقي الإصلاحات الأمنية هي إبقاء التطبيق والـ Hub محدّثين، فلا تُضاف الإصلاحات إلى إصدار أقدم من الإصدار الحالي.

المُرحِّل وخادم الترخيص وهذا الموقع خدمات وليست برامج تُوزَّع، وتتم صيانتها ما دامت تعمل.

التغييرات على هذه السياسة

تاريخ هذه السياسة 22 أكتوبر 2026. أي تغيير فيما نتعهد به، أو في العنوان، أو في النطاق، سيظهر هنا مع تاريخ جديد. وملف بيانات التواصل المقروء آليًا على secureeyes.app/.well-known/security.txt يذكر هذه الصفحة بوصفها سياسته، ويحمل تاريخ انتهاء خاصًا به نجدّده كل عام.

التواصل

تُرسل البلاغات الأمنية إلى security@secureeyes.app. وأي شيء آخر عن SecureEyes يُرسل إلى support@secureeyes.app.