Kebijakan Pengungkapan Kerentanan

Kami tidak akan mengambil tindakan hukum terhadap peneliti keamanan yang bertindak dengan itikad baik sesuai dengan kebijakan ini. Itikad baik berarti: Anda berusaha sungguh-sungguh untuk menghindari pelanggaran privasi, perusakan data, dan gangguan layanan.

Jika Anda mengikuti panduan ini, kami menganggap riset Anda diizinkan. Kami akan bekerja sama dengan Anda untuk memahami dan menyelesaikan masalah dengan cepat.

Yang termasuk dalam cakupan:

• clavitor.ai — situs web produksi
• *.clavitor.ai — semua titik akhir brankas Point of Presence (POP)
• /api/ — API REST brankas
• /app/ — UI web brankas
• clavitor-cli — CLI agen
• clavitor-proxy — proxy kredensial HTTPS
• Ekstensi Peramban — Chrome, Firefox, Safari

Yang tidak termasuk dalam cakupan:

• Rekayasa sosial terhadap staf atau pengguna
• Serangan penolakan layanan
• Serangan fisik terhadap infrastruktur
• Layanan pihak ketiga (Paddle, Cloudflare)
• Pemindaian otomatis yang menurunkan ketersediaan layanan

• Jangan mengakses, memodifikasi, atau menghapus data brankas orang lain.
• Jangan menurunkan ketersediaan layanan.
• Segera berhenti dan laporkan jika Anda menemukan data pengguna nyata.
• Beri kami waktu yang wajar untuk memperbaiki masalah sebelum pengungkapan publik apa pun.
• Gunakan akses minimum yang diperlukan untuk mendemonstrasikan kerentanan.

Kirim email ke security@clavitor.ai. Untuk laporan sensitif, enkripsi pesan Anda dengan kunci PGP kami.

Sertakan:

• Deskripsi kerentanan dan potensi dampaknya
• Langkah-langkah untuk mereproduksi
• Kode bukti konsep atau tangkapan layar apa pun

• Mengonfirmasi laporan Anda dalam waktu 48 jam.
• Memberikan penilaian yang berarti dalam waktu 7 hari.
• Memberi Anda informasi terbaru saat kami mengerjakan perbaikan.
• Memberi Anda kredit publik di halaman pengakuan kami — kecuali Anda lebih memilih untuk tetap anonim.

Kami tidak menjalankan program imbalan berbayar. Kami menawarkan ucapan terima kasih, kredit publik, dan kepuasan karena mengetahui bahwa Anda telah membantu melindungi data pribadi pengguna nyata.