אני כותב כאן על פיתוח, פרטיות ואבטחה, אז סביר לצפות שגם האתר עצמו יהיה מאובטח. בעמוד הזה מפורט איך האתר בנוי, מה עשיתי כדי להגן עליו, מה מותר לבדוק ואיך מדווחים לי אם מצאתם בעיה.
איך האתר מאובטח
קוד: האתר בנוי ב-Next.js ומוגש כאתר סטטי. אין בו מערכת ניהול תוכן עם ממשק ניהול חשוף, אין הרשמת משתמשים. משטח התקיפה קטן בכוונה. תלויות ה-npm נבדקות באופן אוטומטי עם Dependabot ו-npm audit ומתעדכנות כשיוצא תיקון אבטחה.
אחסון: האתר מתארח אצל ספק אחסון שיתופי, מאחורי HTTPS בלבד עם HSTS. רק האתר הזה רץ על הפרויקט הזה.
חשבונות: כל החשבונות שקשורים לאתר (אחסון, שם המתחם, GitHub, DNS) מוגנים בסיסמאות ייחודיות ממנהל סיסמאות ובאימות דו שלבי.
גיבויים: קוד האתר והתוכן נמצאים ב-Git, כך שכל גרסה ניתנת לשחזור.
נתוני גולשים: האתר לא שומר מידע אישי על גולשים. הדבר היחיד שנאסף הוא מה שאתם שולחים בטופס יצירת הקשר (שם ומייל), והוא משמש רק כדי לחזור אליכם. באתר פועלים שני שירותים חיצוניים בלבד: Google Analytics לסטטיסטיקה ו-Disqus לתגובות. מידע נוסף ניתן למצוא בעמוד מדיניות הפרטיות.
מה מותר לבדוק
חוקרי אבטחה מוזמנים לבדוק את האתר ברמה האפליקטיבית: בדיקות ידניות, סורקים אוטומטיים, ניסיונות XSS, הזרקות, עקיפת CSP וכל מה שמכוון לקוד ולתצורה של האתר.
מה לא:
- התקפות מבוססות עומס (DoS / DDoS) או סריקות אגרסיביות שמעמיסות על השרת. התשתית שייכת לספק האחסון ולא לי.
- תקיפה של ספק האחסון, ספק ה-DNS או כל שירות צד שלישי. לחולשות אצלם יש להם תוכניות דיווח משלהם.
- הנדסה חברתית, פישינג או ניסיון לגשת לחשבונות שלי.
- שליחת ספאם דרך טופס יצירת הקשר.
אם אתם רוצים לבדוק משהו שעלול להעמיס או להפריע, פנו אליי קודם. אשמח לתת גישה לקוד כדי שתריצו את זה מקומית.
הצהרה לחוקרי אבטחה
אני מצהיר שלא אגיש תלונה במשטרה ולא אנקוט הליך משפטי נגד חוקר אבטחה שבודק את האתר בתום לב ובהתאם לכללים שבעמוד הזה, מדווח לי על הממצא ולא מפרסם אותו לפני שהיה לי זמן סביר לתקן. מי שרוצה מכתב הרשאה מסודר לפני הבדיקה יכול לפנות אליי ולקבל אחד.
איך מדווחים
שלחו מייל ל- tamit AT duck.com וכתבו בשורת הנושא "דיווח אבטחה".
כדי שאוכל לטפל מהר, כללו:
- תיאור החולשה וה-URL הרלוונטי
- צעדים לשחזור
- הערכה שלכם לחומרה ולהשפעה
אני אחזור אליכם תוך 72 שעות עם אישור קבלה, ואעדכן כשהבעיה מתוקנת.
תודה
אין כאן תוכנית Bug Bounty בתשלום. מי שמדווח על חולשה אמיתית, גם קטנה, יקבל תודה אישית ואזכור בעמוד הזה (אם ירצה בכך).
עודכן לאחרונה: 18.10.2026