Politique de divulgation des vulnérabilités

Nous n'engagerons aucune action légale contre les chercheurs en sécurité qui agissent de bonne foi dans le cadre de cette politique. La bonne foi signifie : vous faites un effort sincère pour éviter les violations de la vie privée, la destruction de données et la perturbation des services.

Si vous suivez ces directives, nous considérons votre recherche comme autorisée. Nous travaillerons avec vous pour comprendre et résoudre le problème rapidement.

Les éléments suivants sont concernés :

• clavitor.ai — le site web de production
• *.clavitor.ai — tous les points d'accès du coffre-fort (Point of Presence - POP)
• /api/ — l'API REST du coffre-fort
• /app/ — l'interface utilisateur web du coffre-fort
• clavitor-cli — l'agent CLI
• clavitor-proxy — le proxy d'identifiants HTTPS
• Extensions de navigateur — Chrome, Firefox, Safari

Les éléments suivants ne sont pas concernés :

• Ingénierie sociale du personnel ou des utilisateurs
• Attaques par déni de service
• Attaques physiques contre l'infrastructure
• Services tiers (Paddle, Cloudflare)
• Balayages automatisés qui dégradent la disponibilité du service

• N'accédez pas, ne modifiez pas et ne supprimez pas les données du coffre-fort d'une autre personne.
• Ne dégradez pas la disponibilité du service.
• Arrêtez-vous et signalez immédiatement si vous rencontrez de vraies données utilisateur.
• Donnez-nous un délai raisonnable pour corriger les problèmes avant toute divulgation publique.
• Utilisez l'accès minimum nécessaire pour démontrer la vulnérabilité.

Envoyez un e-mail à security@clavitor.ai. Pour les rapports sensibles, chiffrez votre message avec notre clé PGP.

Inclure :

• Description de la vulnérabilité et de son impact potentiel
• Étapes pour reproduire
• Tout code de preuve de concept ou captures d'écran

• Accuser réception de votre rapport dans les 48 heures.
• Vous fournir une évaluation approfondie dans les 7 jours.
• Vous tenir informé pendant que nous travaillons sur une correction.
• Vous créditer publiquement sur notre page de remerciements — sauf si vous préférez rester anonyme.

Nous n'avons pas de programme de primes payées. Nous offrons nos remerciements, un crédit public et la connaissance que vous avez contribué à protéger les données privées de vrais utilisateurs.