Güvenlik ve zafiyet bildirimi

Nasıl bildirilir

security@watchmemory.app adresine e-posta gönderin. Türkçe veya İngilizce yazabilirsiniz. Lütfen şunları ekleyin:

• bileşen ve sürüm (Mac uygulaması: WatchMemory → About; CLI: tarball adı, örneğin watchmemory-cli-0.3.0);
• yeniden üretme adımları ve gözlemlediğiniz etki;
• sorunun aktif olarak istismar edildiğini düşünüp düşünmediğiniz.

Lütfen gerçek sır veya kişisel veri göndermeyin; test değerleri veya WMCANARY_ canary'leri kullanın. Şifreli bir kanala ihtiyacınız varsa ilk mesajınızda belirtin, birlikte kuralım.

Kapsam

Kapsamda:

• WatchMemory Mac uygulaması;
• CLI ve tarama motoru (watchmemory, watchmemory-core), Android (beta) arka ucu dahil;
• MCP sunucusu (watchmemory-mcp);
• WatchMemoryDebugAgent Swift paketi;
• yayımladığımız GitHub Action ve CI örnekleri, CLI indirme ve checksum dosyaları;
• lisans doğrulaması;
• watchmemory.app.

Kırılması gereken bir kapının geçmesine yol açabilecek doğruluk sorunları da kapsamdadır; örneğin logout sonrası kalan bir sırrın temizlendi olarak raporlanması.

Kapsam dışı: kullandığımız ama işletmediğimiz hizmetler (Lemon Squeezy ödeme, barındırma, analitik; lütfen onlara bildirin); sosyal mühendislik ve fiziksel saldırılar; watchmemory.app'e karşı hizmet engelleme veya yük testleri; kanıtlanmış etkisi olmayan otomatik tarayıcı çıktıları; somut bir saldırı göstermeyen eksik başlık veya e-posta kayıtları; saldırganın Mac'teki kullanıcı hesabınızı zaten ele geçirmiş olmasını gerektiren senaryolar.

WatchMemory'nin kendi uygulamanızda bulduğu bulgular ürünün işini yapmasıdır. Bir kararı etkilemeyen yanlış pozitif veya yanlış negatifler için support@watchmemory.app adresine yazın.

Ne bekleyebilirsiniz

• 3 iş günü içinde alındı bildirimi.
• 10 iş günü içinde ilk değerlendirme.
• Sorun düzelene kadar en az 14 günde bir güncelleme.
• Düzeltme hedefleri: kritik sorunlar 30 gün, yüksek 60 gün, diğerleri 90 gün veya bir sonraki sürüm.
• Düzeltme yayımlandığında, isterseniz adınızla birlikte kamuya açık bir bülten.

Ayrıntıları bülten yayımlanana kadar veya bildiriminizden 90 gün sonrasına kadar (hangisi önce gelirse) gizli tutmanızı rica ediyoruz. Düzeltme daha uzun sürecekse sizinle birlikte ek süre belirleriz. WatchMemory küçük bir ekip tarafından geliştiriliyor: bir hedefi tutturamazsak nedenini söyleriz.

Henüz ücretli bir bug bounty programımız yok.

Güvenli liman

Bu politikaya iyi niyetle uymaya çalışırsanız araştırmanızı yetkili sayarız. Bu nedenle size karşı hukuki işlem başlatmayız veya desteklemeyiz; buna, bir açığı göstermek için gereken ölçüde lisans kontrollerini aşmak da dahildir. Bu politikaya uyan bir araştırma için üçüncü bir taraf hukuki işlem başlatırsa, araştırmanın yetkili olduğunu kamuya açıkça söyleriz.

Karşılığında lütfen:

• size ait olmayan veriye erişmeyin, değiştirmeyin veya silmeyin; başkasının verisine ulaştığınız anda durun;
• hizmetlerimizi veya diğer kullanıcıların deneyimini bozmayın;
• yalnızca sorunu kanıtlamak için gerekeni yapın; bir atlatma yoluyla elde edilen lisans anahtarlarını paylaşmayın veya kullanmayın;
• ifşa etmeden önce bize sorunu düzeltmemiz için makul süre tanıyın.

Bu politika üçüncü taraflara ait sistemlerin test edilmesine izin veremez. Bir şeyin izinli olup olmadığından emin değilseniz önce bize sorun.

AB Siber Dayanıklılık Yasası (CRA)

WatchMemory Mac uygulamasını, CLI'ı ve MCP sunucusunu AB Siber Dayanıklılık Yasası (Tüzük (AB) 2024/2847) kapsamında dijital unsurlu ürün olarak ele alıyoruz. 11 Eylül 2026'dan beri 14. madde, üreticilerin aktif olarak istismar edilen zafiyetleri ve ciddi olayları tek bildirim platformu üzerinden koordinatör CSIRT'e ve ENISA'ya bildirmesini gerektiriyor: 24 saat içinde erken uyarı, 72 saat içinde bildirim, ardından nihai rapor.

Bildiriminiz aktif istismarla ilgiliyse bu süreleri karşılayabilmemiz için konu satırının başına [EXPLOITED] yazın. Bir bildirim sizin gönderdiğiniz ayrıntıları içerecekse önceden size haber veririz; yasa gerektirmedikçe kimliğinizi onayınız olmadan paylaşmayız.

WatchMemory verinizi nasıl ele alır

• Taramalar yerelde çalışır. Kayıtlar ve raporlar ham değer değil, maskeli önizleme ve anahtarlı hash içerir (--show-values vermediğiniz sürece; CI'da bu da reddedilir).
• Hiçbir şey yüklenmez. Tek ağ çağrıları lisans kontrolü ve yalnızca sürüm numarasını gönderen günlük güncelleme kontrolüdür.
• CLI, SHA-256 checksum'ı yayımlanan sürümlü bir tarball olarak dağıtılır. CI'da ikisini de sabitleyin.

Teşekkürler

Henüz dışarıdan gelen bir bildirim yok. Geçerli sorun bildiren araştırmacılar, izinleriyle burada listelenir.