Legale
Politica di divulgazione delle vulnerabilità
Prendiamo sul serio la sicurezza della Sua cassaforte. Se ha riscontrato una vulnerabilità, desideriamo saperlo.
Non intraprenderemo azioni legali contro i ricercatori di sicurezza che agiscono in buona fede secondo questa politica. Buona fede significa: Lei compie uno sforzo genuino per evitare violazioni della privacy, distruzione di dati e interruzione del servizio.
Se segue queste linee guida, consideriamo la Sua ricerca autorizzata. Collaboreremo con Lei per comprendere e risolvere rapidamente il problema.
Sono inclusi nell'ambito:
- clavitor.ai — il sito web di produzione
- *.clavitor.ai — tutti gli endpoint della cassaforte Point of Presence (POP)
- /api/ — l'API REST della cassaforte
- /app/ — l'interfaccia utente web della cassaforte
- clavitor-cli — l'agente CLI
- clavitor-proxy — il proxy di credenziali HTTPS
- Estensioni del browser — Chrome, Firefox, Safari
Sono esclusi dall'ambito:
- Ingegneria sociale del personale o degli utenti
- Attacchi di negazione del servizio
- Attacchi fisici contro l'infrastruttura
- Servizi di terze parti (Paddle, Cloudflare)
- Scansioni automatizzate che degradano la disponibilità del servizio
- Non acceda, modifichi o elimini i dati della cassaforte di un'altra persona.
- Non degradi la disponibilità del servizio.
- Interrompa e segnali immediatamente se incontra dati reali di utenti.
- Ci conceda un tempo ragionevole per risolvere i problemi prima di qualsiasi divulgazione pubblica.
- Utilizzi il minimo accesso necessario per dimostrare la vulnerabilità.
Invii un'email a security@clavitor.ai. Per segnalazioni sensibili, crittografi il Suo messaggio con la nostra chiave PGP.
Includa:
- Descrizione della vulnerabilità e del suo potenziale impatto
- Passaggi per riprodurla
- Qualsiasi codice proof-of-concept o screenshot
- Daremo riscontro alla Sua segnalazione entro 48 ore.
- Forniremo una valutazione approfondita entro 7 giorni.
- La terremo informata mentre lavoriamo a una soluzione.
- La accrediteremo pubblicamente sulla nostra pagina dei ringraziamenti — a meno che Lei non preferisca rimanere anonimo.
Non gestiamo un programma di bounty a pagamento. Offriamo i nostri ringraziamenti, il credito pubblico e la consapevolezza di aver contribuito a proteggere i dati privati degli utenti reali.