Política de Divulgación de Vulnerabilidades

No emprenderemos acciones legales contra investigadores de seguridad que actúen de buena fe bajo esta política. Buena fe significa: que realiza un esfuerzo genuino para evitar violaciones de la privacidad, destrucción de datos y interrupción del servicio.

Si sigue estas directrices, consideramos su investigación autorizada. Trabajaremos con usted para comprender y resolver el problema rápidamente.

Lo siguiente está incluido:

• clavitor.ai — el sitio web de producción
• *.clavitor.ai — todos los puntos finales de bóveda de Punto de Presencia (POP)
• /api/ — la API REST de la bóveda
• /app/ — la interfaz de usuario web de la bóveda
• clavitor-cli — el agente CLI
• clavitor-proxy — el proxy de credenciales HTTPS
• Extensiones del navegador — Chrome, Firefox, Safari

Lo siguiente está excluido:

• Ingeniería social del personal o de los usuarios
• Ataques de denegación de servicio
• Ataques físicos contra la infraestructura
• Servicios de terceros (Paddle, Cloudflare)
• Escaneo automatizado que degrada la disponibilidad del servicio

• No acceda, modifique ni elimine datos de la bóveda de otra persona.
• No degrade la disponibilidad del servicio.
• Deténgase e informe inmediatamente si encuentra datos reales de usuarios.
• Dénos tiempo razonable para solucionar los problemas antes de cualquier divulgación pública.
• Utilice el acceso mínimo necesario para demostrar la vulnerabilidad.

Envíe un correo electrónico a security@clavitor.ai. Para informes confidenciales, cifre su mensaje con nuestra clave PGP.

Incluya:

• Descripción de la vulnerabilidad y su impacto potencial
• Pasos para reproducir
• Cualquier código de prueba de concepto o capturas de pantalla

• Acusaremos recibo de su informe en un plazo de 48 horas.
• Proporcionaremos una evaluación detallada en un plazo de 7 días.
• Le mantendremos informado mientras trabajamos en una solución.
• Le daremos crédito públicamente en nuestra página de agradecimientos, a menos que prefiera permanecer en el anonimato.

No ofrecemos un programa de recompensas pagadas. Ofrecemos nuestro agradecimiento, crédito público y el conocimiento de que ha ayudado a proteger los datos privados de usuarios reales.