Lakitiedot

Haavoittuvuuksien julkistamiskäytäntö

Otamme holvinne turvallisuuden vakavasti. Jos olette löytäneet haavoittuvuuden, haluamme kuulla siitä.

Safe harbor

Emme ryhdy oikeustoimiin tietoturvatutkijoita vastaan, jotka toimivat vilpittömässä mielessä tämän käytännön mukaisesti. Vilpitön mieli tarkoittaa: teette aitoa yritystä välttää yksityisyyden loukkauksia, tietojen tuhoamista ja palvelun häiriöitä.

Jos noudatatte näitä ohjeita, pidämme tutkimustanne valtuutettuna. Työskentelemme kanssanne ymmärtääksemme ja ratkaistaksemme ongelman nopeasti.

Scope

Seuraavat ovat soveltamisalassa:

clavitor.ai — tuotantosivusto
*.clavitor.ai — kaikki Point of Presence (POP) holvin päätepisteet
/api/ — holvin REST API
/app/ — holvin verkkokäyttöliittymä
clavitor-cli — agentin CLI
clavitor-proxy — HTTPS tunnistetietojen välityspalvelin
Selainlaajennukset — Chrome, Firefox, Safari

Seuraavat eivät kuulu soveltamisalaan:

Henkilöstön tai käyttäjien sosiaalinen manipulointi
Palvelunestohyökkäykset
Fyysiset hyökkäykset infrastruktuuria vastaan
Kolmannen osapuolen palvelut (Paddle, Cloudflare)
Automaattinen skannaus, joka heikentää palvelun saatavuutta

Rules of engagement

Älkää käyttäkö, muuttako tai poistako toisen henkilön holvin tietoja.
Älkää heikentäkö palvelun saatavuutta.
Lopettakaa ja raportoikaa välittömästi, jos kohtaatte todellisia käyttäjätietoja.
Antakaa meille kohtuullinen aika korjata ongelmat ennen julkista tiedottamista.
Käyttäkää vähimmäisvaadittua käyttöoikeutta haavoittuvuuden osoittamiseksi.

How to report

Lähettäkää sähköpostia osoitteeseen security@clavitor.ai. Arkaluonteisia raportteja varten salatkaa viestinne PGP-avaimellamme.

Sisällyttäkää:

Kuvaus haavoittuvuudesta ja sen mahdollisista vaikutuksista
Toistamisvaiheet
Todistuskoodi tai kuvakaappaukset

What we commit to

Kuittaamme raporttinne 48 tunnin kuluessa.
Tarjoamme merkityksellisen arvion 7 päivän kuluessa.
Pidämme teidät ajan tasalla korjauksen edetessä.
Luettelemme teidät julkisesti kiitossivullamme — ellei toivotte anonymiteettiä.

Emme ylläpidä maksullista palkkio-ohjelmaa. Tarjoamme kiitoksemme, julkisen tunnustuksen ja tiedon siitä, että auttoitte suojaamaan todellisten käyttäjien yksityisiä tietoja.