Polityka ujawniania luk

Nie będziemy podejmować działań prawnych przeciwko badaczom bezpieczeństwa, którzy działają w dobrej wierze zgodnie z niniejszą polityką. Dobra wiara oznacza: Państwo dokładają wszelkich starań, aby unikać naruszeń prywatności, niszczenia danych i zakłóceń usług.

Jeśli będą Państwo przestrzegać tych wytycznych, uznamy Państwa badania za autoryzowane. Będziemy współpracować z Państwem, aby szybko zrozumieć i rozwiązać problem.

Zakres obejmuje:

• clavitor.ai — strona produkcyjna
• *.clavitor.ai — wszystkie punkty końcowe sejfu Point of Presence (POP)
• /api/ — interfejs API REST sejfu
• /app/ — interfejs użytkownika sieci sejfu
• clavitor-cli — agent CLI
• clavitor-proxy — serwer proxy poświadczeń HTTPS
• Rozszerzenia przeglądarki — Chrome, Firefox, Safari

Zakres nie obejmuje:

• Inżynieria społeczna personelu lub użytkowników
• Ataki typu odmowa usługi
• Ataki fizyczne na infrastrukturę
• Usługi stron trzecich (Paddle, Cloudflare)
• Automatyczne skanowanie, które obniża dostępność usług

• Nie należy uzyskiwać dostępu do danych innego użytkownika w sejfie, modyfikować ich ani usuwać.
• Nie należy obniżać dostępności usług.
• Należy natychmiast przerwać i zgłosić, jeśli napotkają Państwo rzeczywiste dane użytkownika.
• Prosimy o udzielenie nam rozsądnego czasu na naprawienie problemów przed jakimkolwiek publicznym ujawnieniem.
• Należy użyć minimalnego niezbędnego dostępu do zademonstrowania luki.

Prosimy o kontakt mailowy pod adresem security@clavitor.ai. W przypadku poufnych zgłoszeń prosimy o zaszyfrowanie wiadomości naszym kluczem PGP.

Prosimy o podanie:

• Opisu luki i jej potencjalnego wpływu
• Kroków do odtworzenia
• Wszelkich dowodów koncepcji (kod lub zrzuty ekranu)

• Potwierdzimy otrzymanie Państwa zgłoszenia w ciągu 48 godzin.
• Dostarczymy znaczącą ocenę w ciągu 7 dni.
• Będziemy Państwa informować o postępach w pracy nad poprawką.
• Publicznie Państwa uznamy na naszej stronie z podziękowaniami — chyba że wolą Państwo pozostać anonimowi.

Nie prowadzimy płatnego programu nagród. Oferujemy nasze podziękowania, publiczne uznanie i świadomość, że pomogli Państwo chronić prywatne dane rzeczywistych użytkowników.