الأمان في qrme.to وكيف تبلّغ عن ثغرة

من يمسح باركودك

وجهة كل باركود قابل للتعديل تُفحص في قوائم الروابط الضارة لدى Google عند حفظها، وفحصٌ يومي يعيد المرور على الوجهات، الأقدم فحصاً أولاً. والوجهة المدرجة فيها توقف باركودها فوراً.
الرابط الذي اسم موقعه بحروف غير لاتينية، وقد يُقلَّد بها اسم معروف، يُعرض خلف صفحة تحذير.
في كل صفحة تستضيفها qrme.to لباركود رابط «الإبلاغ عن إساءة»، ويصلنا البلاغ فوراً.
لا يُكتب عنوان IP لمن يمسح في سجل المسحة، ولا يوضع له ملف تعريف ارتباط عند فتح الرابط المختصر، إلا الباركود المحمي بكلمة مرور. التفاصيل في إشعار الخصوصية.
لا إعلان بين المسح والوجهة، ولا صفحة وسيطة غير صفحة التحذير المذكورة.

كلمة المرور 12 حرفاً على الأقل، وتُحفظ بصيغة لا يمكن قراءتها، ومحاولات الدخول الفاشلة المتكررة تُوقَف مؤقتاً.
التحقق بخطوتين بتطبيق مصادقة، مع رموز استرداد. ولمالك الجهة أن يفرضه على كل أعضائها.
صفحة حسابك تذكر عدد الأجهزة الأخرى التي دخلت منها، وتُخرجك منها كلها بضغطة.
لكل عضو في الجهة دوره، وكل تغيير على الباركودات والأعضاء يُسجَّل باسم صاحبه.

كل اتصال بالموقع مشفَّر (HTTPS)، والمتصفح مأمور ألا يتصل بغيره.
تقف شبكة Cloudflare أمام الخادم، والخادم لا يجيب أحداً سواها.
بيانات كل جهة معزولة عن غيرها، واختبارات آلية تتحقق من ذلك قبل كل تحديث للخدمة.
نسخ احتياطية كل ليلة من قاعدة البيانات والملفات، تُشفَّر على الخادم قبل أن تغادره.
الصور المرفوعة تُفحص من محتواها لا من اسمها، ثم يُعاد ترميزها: ما يُعرض لزوارك من صنعنا، لا الملف الذي رُفع.
الخادم والملفات في ألمانيا. شبكة Cloudflare تعالج الطلبات في مراكزها حول العالم، والنسخ الاحتياطية المشفّرة تُحفظ لدى Dropbox.

الدفع لم يُفتح بعد. وحين يُفتح سيكون بالبطاقة عبر شركة تبيع باسمها وتتولى الضريبة: لا نقبل «مدى» كشبكة محلية، ولا نصدر فاتورة ضريبية سعودية.
الخوادم في ألمانيا، لا في المملكة.
لا نحمل شهادة SOC 2 ولا ISO 27001.
المنيو يعرض الحقول التي تعدّدها لوائح الهيئة العامة للغذاء والدواء، وليس «معتمداً من الهيئة».
لا تستطيع شركة أن تعد بالبقاء إلى الأبد. إن أُغلقت الخدمة يوماً أخبرناك قبل ذلك بمدة لا تقل عن 12 شهراً، وهذه المدة مكتوبة في الشروط. أما ربط باركوداتك بنطاق تملكه أنت، وهو الضمان الكامل، فليس متاحاً بعد.

إن وجدت ثغرة في qrme.to فراسلنا على security@qrme.to، بالعربية أو الإنجليزية. اذكر العنوان المتأثر، وخطوات تكرار المشكلة، وما يستطيعه المهاجم بها.

ما نلتزم به نحن:

وما نطلبه منك:

جرّب على حسابك وباركوداتك أنت، ولا تطّلع على بيانات غيرك أكثر مما يلزم لإثبات الثغرة.
لا تعطّل الخدمة، ولا تُغرقها بالطلبات، ولا تخدع أحداً من أصحاب الحسابات أو من فريقنا.
أمهلنا وقتاً معقولاً للإصلاح قبل أن تنشر شيئاً.

الباركود الذي يقود إلى احتيال أو برمجية ضارة ليس ثغرة في الخدمة، والإبلاغ عنه من صفحة الإبلاغ: ضع فيها الرابط المختصر، ونراجعه.