Politik for afsløring af sårbarheder

Vi vil ikke indlede juridiske skridt mod sikkerhedsforskere, der handler i god tro under denne politik. God tro betyder: du gør en reel indsats for at undgå brud på privatlivets fred, ødelæggelse af data og serviceafbrydelser.

Hvis du følger disse retningslinjer, betragter vi din forskning som autoriseret. Vi vil arbejde sammen med dig for hurtigt at forstå og løse problemet.

Følgende er omfattet:

• clavitor.ai — produktionswebstedet
• *.clavitor.ai — alle Point of Presence (POP) boks-endpoints
• /api/ — boksens REST API
• /app/ — boksens web-brugergrænseflade
• clavitor-cli — agentens CLI
• clavitor-proxy — HTTPS-proxyen til loginoplysninger
• Browserudvidelser — Chrome, Firefox, Safari

Følgende er ikke omfattet:

• Social engineering af personale eller brugere
• Denial of service-angreb
• Fysiske angreb mod infrastruktur
• Tredjepartstjenester (Paddle, Cloudflare)
• Automatiserede scanninger, der forringer servicetilgængelighed.

• Tilgå, ret eller slet ikke en andens boksdata.
• Forring ikke servicetilgængelighed.
• Stop og rapporter straks, hvis du støder på rigtige brugerdata.
• Giv os rimelig tid til at rette fejl, før offentliggørelse.
• Brug den minimale adgang, der er nødvendig for at demonstrere sårbarheden.

Send en e-mail til security@clavitor.ai. Krypter din besked med vores PGP-nøgle for følsomme rapporter.

Inkluder:

• Beskrivelse af sårbarheden og dens potentielle indvirkning
• Trin til reproduktion
• Eventuel proof-of-concept-kode eller skærmbilleder

• Vi bekræfter din rapport inden for 48 timer.
• Vi giver en meningsfuld vurdering inden for 7 dage.
• Vi holder dig informeret, mens vi arbejder på en løsning.
• Vi krediterer dig offentligt på vores siden med anerkendelser — medmindre du foretrækker at forblive anonym.

Vi har ikke et betalt bounty-program. Vi tilbyder vores tak, offentlig kredit og viden om, at du hjalp med at beskytte rigtige brugeres private data.