Güvenlik

Güvenlik Açığı Bildirim Politikası

Nature.co, kullanıcı güvenliğini ve deneyimini önceliklendirir. Güvenlik araştırmacılarının bildirimleri, ürün yol haritasının önünde değerlendirilir.

Bildirim adresi: [email protected]
Konu satırında [GÜVENLİK] ibaresinin bulunması önceliklendirmeyi hızlandırır.
Makine tarafından okunabilir iletişim kaydı: /.well-known/security.txt

Yaklaşımımız

Kullanıcı verisinin güvenliği, yeni özelliklerin önünde gelir. Kullanıcı verisini riske atan bir bulgu tespit edildiğinde, devam eden geliştirme çalışmaları durdurularak öncelik bu bulguya verilir.

Yanıt süreleri

İlk yanıt: Bildirim kanalı kesintisiz izlenmektedir. Geri dönüş genellikle birkaç saat içinde, her hâlükârda 24 saat içinde yapılır.
Değerlendirme: Bulgunun doğrulanması ve izlenecek yolun bildirilmesi 7 gün içinde tamamlanır.
Giderme: Süre, bulgunun etki derecesine göre belirlenir. Kullanıcı verisini etkileyen bulgular en yüksek öncelikle ele alınır.
Bilgilendirme: Düzeltme yayınlandığında bildirimi yapan araştırmacı bilgilendirilir.

Bildirimde yer alması beklenen bilgiler

Etkilenen adres, uç nokta veya bileşen
Bulgunun yeniden üretilmesi için gereken adımlar; ekran görüntüsü veya kayıt eklenmesi değerlendirmeyi hızlandırır
Öngörülen etki: veri ifşası, yetki yükseltme, hesap ele geçirme vb.
İletişim bilgileri

Kapsam

Kapsam dâhilinde:

natureco.me ve alt alan adları
developers.natureco.me — geliştirici portalı ve REST API
Açık kaynak depolarımız: github.com/natureco-official (NatureCo CLI, SDK, Urðr, CodeDNA, Cupertino Terminal)

Kapsam dışında:

Hizmet aldığımız üçüncü taraf sağlayıcıların kendi altyapıları (Supabase, Cloudflare, LiveKit, Paddle). Bu tür bulguların doğrudan ilgili sağlayıcıya iletilmesi gerekir.
Sömürülebilirliği gösterilmemiş teorik bulgular
Doğrulanmamış otomatik tarama çıktıları

Araştırma kuralları

Üçüncü kişilere ait verilere erişilmemeli; testler araştırmacının kendi hesabı üzerinden yürütülmelidir.
Hizmetin sürekliliğini bozacak yöntemler (hizmet dışı bırakma, kaba kuvvet, spam) uygulanmamalıdır.
Erişilen veriler kopyalanmamalı, saklanmamalı veya paylaşılmamalıdır; erişim gerçekleşmişse bildirimde belirtilmelidir.
Bulgular, düzeltme yayınlanana kadar kamuya açıklanmamalıdır. Açıklama takvimi karşılıklı mutabakatla belirlenir.

Takdir ve ödüller

Nature.co ücretli bir ödül programı yürütmemektedir. Bunun yerine, geçerli bir bulgu bildiren araştırmacılar platform üzerinde kalıcı ayrıcalıklarla ödüllendirilir.

Doğrulanmış hesap rozeti. Daha önce bilinmeyen, geçerli bir bulgu bildiren her araştırmacının hesabı doğrulanmış olarak işaretlenir. Rozet profilde ve kullanıcı adının yanında kalıcı olarak görünür.
Master Developer rozeti. Hesabı hâlihazırda doğrulanmış olan araştırmacılara, sınırlı sayıda verilen Master Developer rozeti tanımlanır. Etkisi yüksek bulgular için ilk bildirimde de doğrudan bu rozet verilebilir.

Master Developer rozetinin sağladığı haklar:

Düzenlediğimiz etkinliklere öncelikli ve ücretsiz katılım — kapsam, etkinliğin kapasitesine, teknik olanaklara ve kötüye kullanım kurallarına tabidir
Yeni özelliklere yayına alınmadan önce erken erişim ve kapalı test davetleri
Geliştirme ekibine doğrudan iletişim hattı; sonraki bildirimlerde öncelikli değerlendirme
Ürün yol haritası hakkında görüş bildirme ve önerilerinin öncelikli değerlendirilmesi
Talep hâlinde sürüm notlarında ve bu sayfada anılma

Rozetler, bulgunun etkisi ve özgünlüğü dikkate alınarak Nature.co tarafından tanımlanır. Daha önce bildirilmiş veya tarafımızca bilinen bulgular ile doğrulanmamış tarama çıktıları kapsam dışındadır. Ödüllendirme, bulgunun bu sayfadaki araştırma kurallarına uygun şekilde bildirilmiş olması şartına bağlıdır.

Yasal güvence

Bu sayfadaki kurallara uygun şekilde, iyi niyetle yürütülen güvenlik araştırmaları hakkında bizim tarafımızdan yasal işlem başlatılmaz. Bu taahhüt yalnızca bizi bağlar; üçüncü tarafların talepleri ve yetkili makamların işlemleri üzerinde kontrolümüz yoktur. Bir çalışmanın kapsam dâhilinde olup olmadığı konusunda tereddüt hâlinde, teste başlamadan önce [email protected] adresine danışılması önerilir.

Security Vulnerability Disclosure Policy

Nature.co prioritises user security and experience. Reports from security researchers are assessed ahead of product work; a finding that puts user data at risk takes precedence over ongoing development.

Reporting address: [email protected]
Including [SECURITY] in the subject line speeds up triage.
Machine-readable contact: /.well-known/security.txt

Response times

First response: the reporting channel is monitored continuously. A reply is typically issued within hours, and in all cases within 24 hours.
Assessment: the finding is verified and the intended course of action communicated within 7 days.
Remediation: timelines depend on severity. Findings affecting user data are handled at the highest priority.
Notification: the reporting researcher is informed once a fix ships.

What to include in a report

The affected address, endpoint or component
Steps to reproduce the finding; a screenshot or recording speeds up assessment
The expected impact: data exposure, privilege escalation, account takeover and so on
Your contact details

Scope

In scope:

natureco.me and its subdomains
developers.natureco.me — the developer portal and REST API
Our open source repositories: github.com/natureco-official (NatureCo CLI, SDK, Urðr, CodeDNA, Cupertino Terminal)

Out of scope:

The infrastructure of third-party providers we use (Supabase, Cloudflare, LiveKit, Paddle). Such findings should be reported to the provider directly.
Theoretical findings without demonstrated exploitability
Unverified scanner output

Rules of engagement

Do not access data belonging to others; test using your own account.
Do not use methods that degrade service availability (denial of service, brute force, spam).
Do not copy, retain or share any data you encounter, and disclose such access in your report.
Please withhold public disclosure until a fix has shipped. The timeline is agreed mutually.

Recognition and rewards

Nature.co does not operate a paid bounty programme. Instead, researchers who report a valid finding are rewarded with lasting privileges on the platform.

Verified account badge. Every researcher who reports a valid, previously unknown finding has their account marked as verified. The badge appears permanently on the profile and next to the username.
Master Developer badge. Researchers whose accounts are already verified receive the Master Developer badge, issued in limited numbers. High-impact findings may be awarded it on a first report.

What the Master Developer badge carries:

Priority and free access to the events we hold, subject to event capacity, technical constraints and our rules of engagement
Early access to new features and invitations to closed tests
A direct line to the engineering team, and priority triage on subsequent reports
Input into the product roadmap, with suggestions considered first
Credit in release notes and on this page, on request

Badges are granted at Nature.co's discretion, based on the impact and originality of the finding. Duplicates, findings already known to us and unverified scanner output do not qualify. Recognition is conditional on the finding having been reported in line with the rules of engagement above.

Safe harbour

We will not take legal action in respect of good-faith research conducted within these rules. This commitment binds us only; we have no control over third-party claims or the actions of competent authorities. If you are unsure whether an activity is in scope, please ask at [email protected] before testing.