Rovian منصة شطرنج تُلعب عبر فيديو وصوت مباشرين. هذا يعني أن خللًا أمنيًا قد لا يؤثر في البيانات فحسب، بل في كاميرات الناس وميكروفوناتهم. نأخذ البلاغات بجدية ونفضّل كثيرًا العمل مع الباحثين على مواجهتهم.
📮 كيف تُبلغ
عنوان واحد: [email protected] — يُرجى وضع [SECURITY] في سطر الموضوع. تواصل معنا قبل النشر العلني؛ لنُصلحها أولًا، ثم نروي القصة معًا إن أردت.
تتقدم البلاغات أسرع بكثير عندما تتضمن:
- أين: عنوان URL أو نقطة النهاية أو الشاشة المتأثرة (مثل
rovian.co/...,realtime.rovian.co، أو تطبيق الهاتف). - كيف: خطوات إعادة الإنتاج بالتفصيل — طلب/استجابة نموذجية، أو لقطة شاشة، أو فيديو قصير.
- التأثير: ما الذي يستطيع المهاجم فعله فعلًا؟ (مثل «أستطيع قراءة سجل مباريات مستخدم آخر».)
- بيئتك: المتصفح/الجهاز وحساب الاختبار الذي استخدمته.
- اسمك: كيف تحب أن يُنسب إليك الفضل (أو أخبرنا إن كنت تفضّل البقاء مجهولًا).
تريد إرسالها مشفّرة؟ اطلب منا وسنتبادل المفاتيح. (عندما ننشر مفتاح PGP سيُعلن عنه في حقل Encryption في /.well-known/security.txt — وإن لم يكن موجودًا هناك، فليس لدينا مفتاح بعد.)
⏱️ ما نعدك به
- نؤكد استلام بلاغك خلال 3 أيام عمل (شخص حقيقي، لا ردّ آلي).
- نشاركك تقييمنا الأولي خلال 10 أيام عمل: هل هي صحيحة، وما مدى خطورتها، وما الذي ننوي فعله.
- نحرص على إبقائك على اطلاع أثناء الإصلاح، ونخبرك عند إغلاقها.
- للمشكلات الخطيرة نهدف إلى الإصلاح خلال 90 يومًا. وإذا استغرق الأمر أطول، فسنخبرك بالسبب.
- بإذنك، ننسب إليك الفضل في قائمة الشكر أدناه.
يبني Rovian فريق صغير؛ ولا نشغّل مركز عمليات أمنية على مدار الساعة. هذه مواعيد نستطيع الالتزام بها فعلًا — وإن لم نستطع، فسنراسلك.
⚖️ الملاذ الآمن
البحث الذي يُجرى بحسن نية وضمن القواعد أدناه بحث مصرّح به. إذا التزمت بهذا النطاق:
- لن نتخذ إجراءات قانونية ضدك ولن نتقدم بأي شكوى.
- لا تُعدّ مخالفًا لشروط الخدمة بسبب الخطوات التقنية لبحثك، ولن نغلق حسابك بسببها.
- إذا اتخذ طرف ثالث إجراءً ضدك، فسوف نؤكد كتابيًا أنك اتبعت قواعدنا.
وللصراحة بشأن الحدود: هذا التزامنا نحن، وهو لا يمكنه إسقاط حقوق الأطراف الثالثة أو النيابة العامة — فنحن لا نتحدث إلا باسمنا. السلوك خارج هذه القواعد (تسريب البيانات، والابتزاز، وإيذاء المستخدمين الآخرين) يقع بالكامل خارج هذه الحماية.
🎯 النطاق
rovian.coوجميع صفحاته (تطبيق الويب، ونقاط نهاية API)realtime.rovian.co— مقبس اللعب/الدردشة وإشارات WebRTC- تطبيقات Rovian للهاتف (iOS وAndroid)
- مسارات المصادقة وإدارة الجلسات والتفويض
- تجاوز حمايات الإشراف وبوابة العمر
خارج النطاق
- خدمات الأطراف الثالثة التي نستخدمها (Railway وCloudflare وSentry وSnap وGoogle وغيرها) — يُرجى الإبلاغ عنها عبر برامجها الخاصة.
- حجب الخدمة (DoS/DDoS)، واختبارات الحمل/الإجهاد، وهجمات القوة الغاشمة.
- الهندسة الاجتماعية، والتصيّد، والهجمات المادية، وأي شيء يستهدف فريقنا.
- مخرجات أدوات الفحص الآلي الخام دون تأثير مُثبت (ترويسات مفقودة، أو كشف الإصدار، أو ملاحظات SPF/DMARC وما شابه).
- Self-XSS، والشيفرة التي يلصقها المستخدم في متصفحه، والسيناريوهات غير الواقعية (مثل افتراض جهاز مخترق بالكامل).
- تعداد أسماء المستخدمين/عناوين البريد الإلكتروني والنتائج المشابهة التي لا تأثير مستقل لها — وإن كان يسعدنا معرفتها كجزء من سلسلة قابلة للاستغلال.
🚧 قواعد الاشتباك
يلعب الناس على Rovian بكاميرا وميكروفون مباشرين. ومعظم قواعدنا موجودة لحماية ذلك:
- اختبر بحساباتك الخاصة. لا تلمس حسابات المستخدمين الحقيقيين أو مبارياتهم أو رسائلهم.
- إذا وجدت أنك تستطيع الوصول إلى كاميرا مستخدم آخر أو صوته أو دردشته، فتوقف فورًا. لا تسجّلها ولا تخزّنها ولا تشاركها. صِف ما حدث بالكلمات بدلًا من إرفاق لقطة شاشة — فهذا دليل كافٍ لنا.
- لا تنزّل أو تنسخ أو تحذف أو تعدّل البيانات الشخصية التي يمكنك الوصول إليها. استخدم أصغر دليل ممكن على الوصول.
- لا تعطّل الخدمة: لا محاولات DoS، ولا حذف للبيانات، ولا تشويه للواجهات.
- لا تُفسد تجربة المستخدمين الآخرين ولا تُغرق المباريات والدردشات بالرسائل المزعجة.
- لا تشارك اكتشافك مع أطراف ثالثة حتى يُصلَح؛ وبعد ذلك، ندعمك في نشره.
🏅 المكافآت
نحن لا نستطيع دفع مكافآت نقدية حاليًا. Rovian منصة صغيرة في بداية تحقيق الإيرادات، ونفضّل أن نقول ذلك صراحةً من البداية على أن نعد بمكافأة لا نستطيع الوفاء بها ونهدر وقت الباحث.
ما نستطيع تقديمه بدلًا من ذلك:
- ذكر اسمك في قائمة الشكر أدناه (مع رابط لموقعك أو ملفك الشخصي إن أردت).
- عند الطلب، خطاب شكر/توصية موقّع يصف اكتشافك وطريقة تعاملك معه.
- وصول مميز مجاني دائم إلى Rovian للاكتشافات الحرجة.
- إن رغبت، نشر منسّق بعد الإصلاح (تدوينة، ودعم عبر عملية CVE).
عندما نصبح قادرين على تشغيل برنامج مكافآت مدفوع، سنعلن عنه في هذه الصفحة ونحدّث النطاق هنا.
🚨 عاجل: سلامة الأطفال
الاشتباه في مستخدم قاصر أو في مواد الاعتداء الجنسي على الأطفال (CSAM) ليس «بلاغًا عن ثغرة» ولا يخضع لمهلة الـ 90 يومًا. أبلغ عنه فورًا على [email protected] مع الموضوع «URGENT CHILD SAFETY»؛ ونتعامل معه بأعلى أولوية. لا تنزّل المحتوى ولا تخزّنه كدليل — يكفي أن تخبرنا بما رأيت وأين رأيته.
للتحرش والعُري ومخالفات القواعد داخل المنصة، استخدم زر الإبلاغ في شاشة المباراة؛ والتفاصيل في صفحة المجتمع والأمان لدينا.
🔍 وضعنا الأمني (بلا مبالغة)
لن تجد في هذه الصفحة شارة «مُدقَّق بشكل مستقل» أو «معتمد أمنيًا». وهذا مقصود: في الأمن لا يوجد شيء اسمه «اجتاز». في أحسن الأحوال يقول التقييم: «في هذا التاريخ، وفي هذا النطاق، وبهذه المنهجية، وجدنا ما يلي». وما هو صحيح اليوم قد لا يبقى صحيحًا بعد نشر الغد.
إليك الصورة الصادقة بدلًا من ذلك:
- ما قمنا به: اختبار اختراق مصرّح به (يوليو 2026) ومراجعات أمنية داخلية منتظمة؛ وتدقيق للشيفرة عند كل تغيير حساس أمنيًا.
- الدفاعات المطبّقة: سياسة أمان محتوى (Content-Security-Policy) قائمة على nonce، وقائمة سماح
connect-srcمضيّقة، والتحقق من الجلسة في كل مسار على الخادم، وتحديد معدل الطلبات، وتوقيع جهاز لا رجعة فيه ضد التحايل على الحظر، وعدم التسجيل التلقائي للمكالمات العادية. لا تُسجَّل المكالمات العادية تلقائيًا. وتُستثنى من ذلك أدلة الإشراف التي يطلقها المستخدم وميزات المقاطع التي تتطلب موافقة صريحة. تتطلب مقاطع المباريات أن يفعّل اللاعبان كلاهما الموافقة على التسجيل. راجع سياسة الخصوصية للتفاصيل. - ما لا ندّعيه: أي شهادة أمنية من طرف ثالث، أو اعتماد ISO/SOC، أو ضمان بأننا «خالون من الأخطاء». لا نملك أي شهادة كهذه — ولو كانت لدينا، لذكرنا الجهة والنطاق والتاريخ هنا بالضبط.
مؤشر الثقة الحقيقي ليس شارة؛ بل أن يعرف من يجد خللًا إلى أين يأخذه بالضبط. ولهذا وُجدت هذه الصفحة.
🙏 الشكر والتقدير
يُذكر هنا الباحثون الذين يساعدون في الحفاظ على أمان Rovian. القائمة فارغة حاليًا — وقد تكون أنت الأول. إذا أردت إدراج اسمك (ورابط اختياريًا)، فاذكر ذلك في بلاغك.
قد تُحدَّث شروط هذا البرنامج دون إشعار مسبق؛ والإصدار الحالي موجود دائمًا في هذه الصفحة. النسخة القابلة للقراءة آليًا: /.well-known/security.txt (RFC 9116).