Richtlinie zur Offenlegung von Schwachstellen

Wir werden keine rechtlichen Schritte gegen Sicherheitsforscher einleiten, die im Rahmen dieser Richtlinie nach Treu und Glauben handeln. Treu und Glauben bedeutet: Sie bemühen sich nach Kräften, Datenschutzverletzungen, Datenzerstörung und Dienstunterbrechungen zu vermeiden.

Wenn Sie diese Richtlinien befolgen, betrachten wir Ihre Forschung als autorisiert. Wir werden mit Ihnen zusammenarbeiten, um das Problem schnell zu verstehen und zu beheben.

Folgendes ist im Geltungsbereich enthalten:

• clavitor.ai — die Produktionswebsite
• *.clavitor.ai — alle Point of Presence (POP) Tresor-Endpunkte
• /api/ — die Tresor REST API
• /app/ — die Tresor Web-Oberfläche
• clavitor-cli — die Agenten-CLI
• clavitor-proxy — der HTTPS Anmeldedaten-Proxy
• Browser-Erweiterungen — Chrome, Firefox, Safari

Folgendes ist nicht im Geltungsbereich enthalten:

• Social Engineering von Mitarbeitern oder Benutzern
• Denial-of-Service-Angriffe
• Physische Angriffe auf die Infrastruktur
• Drittanbieterdienste (Paddle, Cloudflare)
• Automatisierte Scans, die die Dienstverfügbarkeit beeinträchtigen

• Greifen Sie nicht auf die Tresordaten anderer Personen zu, ändern oder löschen Sie diese nicht.
• Beeinträchtigen Sie nicht die Dienstverfügbarkeit.
• Stoppen Sie und melden Sie sofort, wenn Sie auf echte Benutzerdaten stoßen.
• Geben Sie uns angemessene Zeit zur Behebung von Problemen, bevor eine öffentliche Offenlegung erfolgt.
• Nutzen Sie den minimalen Zugriff, der zur Demonstration der Schwachstelle erforderlich ist.

E-Mail an security@clavitor.ai. Für sensible Berichte verschlüsseln Sie Ihre Nachricht mit unserem PGP-Schlüssel.

Include: → Bitte geben Sie an:

• Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen
• Schritte zur Reproduktion
• Any proof-of-concept code or screenshots → Proof-of-Concept-Code oder Screenshots

• Wir bestätigen den Eingang Ihres Berichts innerhalb von 48 Stunden.
• Wir liefern eine aussagekräftige Bewertung innerhalb von 7 Tagen.
• Wir halten Sie auf dem Laufenden, während wir an einer Lösung arbeiten.
• Wir werden Sie öffentlich auf unserer Danksagungsseite erwähnen – es sei denn, Sie ziehen es vor, anonym zu bleiben.

Wir betreiben kein bezahltes Bounty-Programm. Wir bieten unseren Dank, öffentliche Anerkennung und das Wissen, dass Sie dazu beigetragen haben, die privaten Daten echter Benutzer zu schützen.