취약점 공개 정책

저희는 이 정책에 따라 선의로 행동하는 보안 연구원에 대해 법적 조치를 취하지 않아요. 선의란 개인정보 침해, 데이터 파괴, 서비스 중단을 피하기 위해 진심으로 노력하는 것을 의미해요.

이 가이드라인을 따라 주시면 저희는 연구원님의 연구를 승인된 것으로 간주해요. 문제를 신속하게 이해하고 해결할 수 있도록 함께 협력할게요.

다음 항목은 조사 범위에 포함돼요.

• clavitor.ai — 프로덕션 웹사이트
• *.clavitor.ai — 모든 글로벌 접속 지점(POP) 볼트 엔드포인트
• /api/ — 볼트 REST API
• /app/ — 볼트 웹 UI
• clavitor-cli — 에이전트 CLI
• clavitor-proxy — HTTPS 자격 증명 프록시
• 브라우저 확장 프로그램 — Chrome, Firefox, Safari

다음 항목은 조사 범위에서 제외돼요.

• 직원 또는 사용자 대상 사회 공학 기법
• 서비스 거부 공격
• 인프라 대상 물리적 공격
• 제3자 서비스 (Paddle, Cloudflare)
• 서비스 가용성을 저하시키는 자동화 스캔

• 타인의 볼트 데이터에 접근하거나, 수정하거나, 삭제하지 마세요.
• 서비스 가용성을 저하시키지 마세요.
• 실제 사용자 데이터를 발견하면 즉시 중단하고 신고해 주세요.
• 공개적으로 알리기 전에 저희가 문제를 수정할 수 있도록 합리적인 시간을 주세요.
• 취약점을 입증하는 데 필요한 최소한의 접근 권한만 사용하세요.

security@clavitor.ai로 이메일을 보내주세요. 민감한 신고의 경우 저희 PGP 키로 메시지를 암호화해 주세요.

다음 내용을 포함해 주세요.

• 취약점에 대한 설명 및 잠재적 영향
• 재현 단계
• 개념 증명 코드 또는 스크린샷

• 48시간 내에 신고 접수 사실을 알려드릴게요.
• 7일 내에 의미 있는 평가 결과를 제공해 드릴게요.
• 수정 작업을 진행하는 동안 진행 상황을 계속 알려드릴게요.
• 익명을 선호하지 않으시는 한 저희 감사 페이지에 연구원님을 공개적으로 소개해 드릴게요.

저희는 유료 바운티 프로그램을 운영하지 않아요. 대신 저희의 감사 인사, 공개적인 인정, 그리고 실제 사용자의 개인 데이터를 보호하는 데 기여했다는 보람을 제공해 드려요.