אבטחה וגילוי אחראי

דיווח על פגיעות

• תיאור ברור של הבעיה
• שלבים לשחזור
• השפעה פוטנציאלית
• קוד POC (אנא לא לשתף בפומבי)

• לאשר את הדיווח שלך תוך 48 שעות
• לספק עדכון סטטוס תוך 7 ימים
• לתת לך קרדיט (אם תרצה) ב-security hall of fame אחרי שתיקון יוצא

מתחם בטוח (Safe Harbor)

• ניגש, משנה או הורס נתונים שאינם בבעלותך
• משבש את השירות או משתמשים אחרים
• מנסה social engineering
• חושף בפומבי לפני שתיקנו

מחוץ לתחום

• דיווחי סקאנרים אוטומטיים ללא אימות ידני
• חוסר ב-security headers ללא השפעה ניצולית
• Self-XSS, clickjacking על דפים ללא פעולות רגישות
• rate-limiting ללא השפעת פרטיות/אבטחה
• התקפות DoS
• social engineering של הצוות
• התקפות פיזיות

עיקרי הארכיטקטורה

• HTTPS בכל מקום (TLS 1.3)
• הצפנה במנוחה (AES-256, Supabase)
• Row Level Security על כל טבלאות נתוני המשתמש
• סינון user_id בכל קריאת DB
• Rate limiting ו-abuse detection
• גיבויים יומיים מוצפנים, point-in-time recovery
• Audit log על כל פעולות עוזרת ה-AI

security.txt