Güvenlik Açığı Bildirim Politikası
Güncelleme: Ekim 2026
Bu sitede ya da bağlı servislerinde bir güvenlik açığı bulduysanız lütfen bildirin. İyi niyetle yapılan araştırmayı memnuniyetle karşılıyorum; bildirimleri hızlı ve şeffaf biçimde ele alırım. Makine-okunur iletişim bilgisi: /.well-known/security.txt (RFC 9116).
Nasıl bildirilir?
[email protected] adresine yazın; konu satırına “Security” ekleyin. Türkçe ya da İngilizce yazabilirsiniz.
Bildirimde şunlar olsun: etkilenen adres veya bileşen, açığın türü ve etkisi, adım adım yeniden üretme yolu (istek/yanıt örnekleri, kavram kanıtı) ve sizinle nasıl iletişime geçebileceğim. Şifreli bir kanal gerekiyorsa ilk e-postanızda belirtin, birlikte ayarlarız.
Kapsam
furkanisikay.com ve alt alan adları; mcp.furkanisikay.com üzerindeki MCP sunucusu ve site asistanı API’si (/ask, /ask/upload, /ask/brief); furkanisikay.com.tr (yalnız yönlendirme yapar).
Asistanda özellikle ilgilendiğim konular: başka bir ziyaretçinin verisine veya dosyasına erişim, kota ve bütçe korumalarının atlatılması, imzalı geçmişin ya da dosya kimliklerinin sahtelenmesi, araçların amacı dışında kullanılması, doğrulama olmadan e-posta veya WhatsApp gönderimi tetiklenmesi.
Kapsam dışı
Hizmet engelleme (DoS/DDoS), yük ve hacim testleri; asistanın tekrar tekrar çağrılması (her çağrı gerçek maliyet doğurur); sosyal mühendislik, oltalama ve fiziksel saldırılar.
Üçüncü taraf hizmetleri (Google Workspace, Cloudflare, Anthropic, Web3Forms, softivation.com): bunları kendi programlarına bildirin.
Etkisi gösterilmemiş otomatik tarayıcı çıktıları; somut bir istismar yolu olmayan eksik başlık veya en iyi uygulama bildirimleri; hassas işlem içermeyen sayfalarda clickjacking; self-XSS; SPF/DMARC/DKIM yapılandırma önerileri; yalnızca sizin oturumunuzda metin çıktısını değiştiren ve başka bir etkisi olmayan istem (prompt) enjeksiyonu.
Araştırma kuralları
Yalnızca kendi hesabınız ve kendi verinizle test edin. Başkasına ait veriye rastlarsanız erişmeyi bırakın, saklamayın ve hemen bildirin. Hizmeti bozacak, veriyi değiştirecek veya silecek işlem yapmayın; açığı doğrulamak için gereken en az etkileşimle yetinin. Açık giderilmeden kamuya açıklamayın.
Yanıt süreleri
Bildirimi 3 iş günü içinde alındı olarak yanıtlarım, 10 iş günü içinde ilk değerlendirmeyi ve önem derecesini paylaşırım. Düzeltme sürecinde sizi bilgilendiririm. Koordineli açıklama için hedef süre 90 gündür; düzeltme daha erken yayımlanırsa birlikte daha erken açıklayabiliriz.
Güvenli liman
Bu politikaya uygun, iyi niyetli araştırmayı yetkili sayarım: hakkınızda yasal işlem başlatmam ve şikâyette bulunmam. Üçüncü bir taraf işlem başlatırsa, politikaya uyduğunuzu kendilerine bildiririm. Bir konunun kapsamda olup olmadığından emin değilseniz önce sorun.
Teşekkür
Ücretli bir ödül programı (bug bounty) yoktur. Geçerli ve kapsam içi bir açığı ilk bildiren kişiye, izni olursa bu sayfada adıyla teşekkür ederim.