Retningslinjer for sårbarhetsavsløring

Vi vil ikke forfølge rettslige skritt mot sikkerhetsforskere som handler i god tro under denne policyen. God tro betyr: du gjør en genuin innsats for å unngå personvernbrudd, datadestruksjon og tjenesteavbrudd.

Hvis du følger disse retningslinjene, anser vi forskningen din som autorisert. Vi vil samarbeide med deg for å forstå og løse problemet raskt.

Følgende er omfattet:

• clavitor.ai — produksjonsnettstedet
• *.clavitor.ai — alle Point of Presence (POP) hvelv-endepunkter
• /api/ — hvelvets REST API
• /app/ — hvelvets webgrensesnitt
• clavitor-cli — agentens CLI
• clavitor-proxy — HTTPS-proxyen for påloggingsinformasjon
• Nettleserutvidelser — Chrome, Firefox, Safari

Følgende er ikke omfattet:

• Sosial manipulering av ansatte eller brukere
• Tjenestenektangrep
• Fysiske angrep mot infrastruktur
• Tredjepartstjenester (Paddle, Cloudflare)
• Automatisert skanning som forringer tjenestetilgjengeligheten

• Ikke få tilgang til, endre eller slette en annen persons hvelvdata.
• Ikke forring tjenestetilgjengeligheten.
• Stopp og rapporter umiddelbart hvis du støter på ekte brukerdata.
• Gi oss rimelig tid til å fikse problemer før offentliggjøring.
• Bruk den minimale tilgangen som er nødvendig for å demonstrere sårbarheten.

Send e-post til security@clavitor.ai. For sensitive rapporter, krypter meldingen din med vår PGP-nøkkel.

Inkluder:

• Beskrivelse av sårbarheten og dens potensielle innvirkning
• Steg for å reprodusere
• Eventuell proof-of-concept-kode eller skjermbilder

• Vi bekrefter mottak av rapporten din innen 48 timer.
• Vi gir en meningsfull vurdering innen 7 dager.
• Vi holder deg informert mens vi jobber med en løsning.
• Vi gir deg offentlig kreditt på vår takkeside — med mindre du foretrekker å forbli anonym.

Vi har ikke et betalt dusørprogram. Vi tilbyr vår takk, offentlig kreditt og vissheten om at du bidro til å beskytte ekte brukeres private data.