นโยบายการเปิดเผยช่องโหว่

01ขอบเขต

นโยบายนี้ครอบคลุม:

• jobskru.com และทุกหน้าในเว็บไซต์ (รวมถึง /th)
• API ของ JobsKru ที่เว็บไซต์ใช้งาน
• cdn.jobskru.com (พื้นที่จัดเก็บไฟล์สาธารณะของเรา)

บริการของบริษัทอื่นที่เราใช้ เช่น Cloudflare, Supabase และ Stripe ไม่อยู่ในขอบเขตนี้ โปรดแจ้งปัญหาของบริการเหล่านั้นกับบริษัทนั้นโดยตรง

02แนวทางการทดสอบ

ระหว่างค้นหาช่องโหว่ โปรด:

• ใช้เฉพาะบัญชีที่คุณสร้างขึ้นเอง หรือบัญชีที่เจ้าของอนุญาตอย่างชัดแจ้ง
• เข้าถึงข้อมูลเท่าที่จำเป็นเพื่อแสดงปัญหาเท่านั้น หากพบข้อมูลส่วนบุคคลของผู้อื่น เช่น ประวัติ ใบสมัคร ข้อมูลติดต่อ หรือเอกสาร โปรดหยุด ไม่เก็บหรือเผยแพร่ข้อมูลนั้น และแจ้งเราในรายงาน
• หลีกเลี่ยงการสร้างความเสียหายต่อบริการหรือผู้ใช้ อย่าแก้ไขหรือลบข้อมูลที่ไม่ใช่ของคุณ และอย่าทำให้เว็บไซต์ทำงานช้าลงสำหรับผู้อื่น
• อย่าลงประกาศงานปลอม หรือส่งข้อความหรือใบสมัครถึงโรงเรียนหรือผู้หางานจริงระหว่างการทดสอบ
• ให้เวลาเราแก้ไขอย่างเหมาะสมก่อนแจ้งผู้อื่น (ดูหัวข้อการเปิดเผยด้านล่าง)

03สิ่งที่ไม่อนุญาต

• การโจมตีให้บริการหยุดชะงัก (DoS) การทดสอบโหลด หรือการกระทำใดที่ทำให้บริการด้อยลง
• สแปม หรือการสแกนอัตโนมัติที่สร้างปริมาณการใช้งานจำนวนมาก
• วิศวกรรมสังคมหรือฟิชชิงต่อเจ้าหน้าที่ JobsKru โรงเรียน หรือผู้หางาน
• การโจมตีทางกายภาพต่อสำนักงาน บุคคล หรืออุปกรณ์
• การโจมตีระบบของผู้ให้บริการของเรา (Cloudflare, Supabase, Stripe และอื่น ๆ)
• การเก็บ แก้ไข แบ่งปัน หรือเผยแพร่ข้อมูลของผู้อื่น

04สิ่งที่โดยทั่วไปไม่รับพิจารณา

รายการต่อไปนี้โดยทั่วไปไม่ถือเป็นช่องโหว่ เว้นแต่คุณแสดงผลกระทบด้านความปลอดภัยที่เกิดขึ้นจริงได้:

• ผลจากเครื่องมือสแกนอัตโนมัติที่ไม่มีหลักฐานว่านำไปโจมตีได้จริง
• การไม่มี Security Header หรือแฟล็กของคุกกี้ที่ไม่ก่อผลกระทบที่โจมตีได้
• Clickjacking ในหน้าที่ไม่มีการดำเนินการสำคัญ
• CSRF ในการออกจากระบบหรือการดำเนินการอื่นที่ไม่ก่อผลกระทบ
• ปัญหาการจำกัดจำนวนครั้งที่ไม่ก่อผลกระทบอย่างมีนัยสำคัญ
• การเปิดเผยเวอร์ชันซอฟต์แวร์ หรือข้อความแสดงข้อผิดพลาดที่ไม่เปิดเผยข้อมูลสำคัญ
• ปัญหาที่เกิดเฉพาะกับเบราว์เซอร์รุ่นเก่าหรือที่ไม่รองรับแล้ว
• การตั้งค่าอีเมล (SPF, DKIM, DMARC) ที่ไม่มีการแสดงให้เห็นว่าปลอมแปลงได้จริง

05วิธีแจ้ง

ส่งอีเมลถึง security@jobskru.com เป็นภาษาไทยหรือภาษาอังกฤษ โดยระบุ:

• ช่องโหว่คืออะไร และอยู่ที่ใด (URL หรือ API endpoint)
• ขั้นตอนการทำซ้ำทีละขั้น พร้อมโค้ดพิสูจน์แนวคิด ภาพหน้าจอ หรือวิดีโอ (ถ้ามี)
• ผลกระทบ: ผู้โจมตีทำอะไรได้บ้าง
• บัญชีที่คุณใช้ทดสอบ
• ต้องการให้เรากล่าวถึงคุณในฐานะผู้แจ้งอย่างไร (หากต้องการ)

โปรดเก็บรายละเอียดไว้ระหว่างคุณกับเราจนกว่าปัญหาจะได้รับการแก้ไข

06สิ่งที่คุณคาดหวังจากเราได้

• เราจะตอบรับรายงานของคุณภายใน 5 วันทำการ
• เราจะประเมินและแจ้งว่ารับพิจารณาหรือไม่ และความรุนแรงในมุมมองของเรา ภายใน 10 วันทำการ
• เรามุ่งแก้ไขปัญหาร้ายแรงภายใน 7 วัน และปัญหาอื่นโดยเร็วที่สุดเท่าที่ทำได้ พร้อมแจ้งความคืบหน้าแก่คุณ
• เราจะแจ้งเมื่อปัญหาได้รับการแก้ไขแล้ว
• หากคุณอนุญาต เราจะกล่าวถึงชื่อคุณเมื่อการแก้ไขเผยแพร่แล้ว

07การเปิดเผย

โปรดอย่าเปิดเผยช่องโหว่แก่ผู้อื่นจนกว่าเราจะแก้ไขเสร็จ หรือจนครบ 90 วันนับจากวันที่แจ้ง แล้วแต่อย่างใดถึงก่อน หากเราต้องการเวลามากกว่านั้น เราจะอธิบายเหตุผลและตกลงวันที่ร่วมกับคุณ และยินดีประสานการเผยแพร่ร่วมกัน

08การคุ้มครองผู้วิจัยโดยสุจริต

หากคุณค้นหาและแจ้งช่องโหว่โดยสุจริตและปฏิบัติตามนโยบายนี้ เราจะถือว่างานวิจัยของคุณได้รับอนุญาต เราจะไม่ดำเนินคดีกับคุณ และจะไม่ร้องขอให้หน่วยงานรัฐดำเนินการ หากบุคคลอื่นดำเนินคดีจากการวิจัยที่ปฏิบัติตามนโยบายนี้ เราจะแจ้งให้ทราบว่าการกระทำของคุณได้รับอนุญาต

การคุ้มครองนี้ใช้กับระบบของ JobsKru เท่านั้น เราไม่สามารถอนุญาตให้ทดสอบระบบของบริษัทอื่นได้ หากไม่แน่ใจว่าสิ่งใดทำได้ โปรดสอบถามเราก่อน

09รางวัล

ปัจจุบัน JobsKru ยังไม่มีโครงการรางวัลค้นหาช่องโหว่แบบจ่ายเงิน (Bug Bounty) เราขอบคุณทุกรายงานที่ถูกต้อง และยินดีกล่าวถึงคุณต่อสาธารณะ

10การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราว ฉบับปัจจุบันจะอยู่ที่หน้านี้เสมอ พร้อมวันที่แก้ไขล่าสุด

11ติดต่อเรา

การแจ้งช่องโหว่และคำถามเกี่ยวกับนโยบายนี้: security@jobskru.com