Policy för sårbarhetsredovisning

Vi kommer inte att vidta rättsliga åtgärder mot säkerhetsforskare som agerar i god tro enligt denna policy. God tro innebär: att du gör ett genuint försök att undvika integritetsintrång, datadestruktion och tjänsteavbrott.

Om du följer dessa riktlinjer betraktar vi din forskning som auktoriserad. Vi kommer att samarbeta med dig för att snabbt förstå och lösa problemet.

Följande är inom ramen för policyn:

• clavitor.ai — produktwebbplatsen
• *.clavitor.ai — alla Point of Presence (POP) valv-slutpunkter
• /api/ — valvets REST API
• /app/ — valvets webb-UI
• clavitor-cli — agentens CLI
• clavitor-proxy — HTTPS-proxyn för inloggningsuppgifter
• Webbläsartillägg — Chrome, Firefox, Safari

Följande är utanför ramen för policyn:

• Social ingenjörskonst mot personal eller användare
• Tjänstenekande attacker
• Fysiska attacker mot infrastruktur
• Tredjepartstjänster (Paddle, Cloudflare)
• Automatiserad skanning som försämrar tjänstens tillgänglighet

• Få inte åtkomst till, ändra eller radera en annan persons valvdata.
• Försämra inte tjänstens tillgänglighet.
• Stoppa och rapportera omedelbart om du stöter på verklig användardata.
• Ge oss rimlig tid att åtgärda problem innan någon offentliggöring.
• Använd minsta möjliga åtkomst för att demonstrera sårbarheten.

Mejla security@clavitor.ai. För känsliga rapporter, kryptera ditt meddelande med vår PGP-nyckel.

Inkludera:

• Beskrivning av sårbarheten och dess potentiella påverkan
• Steg för att reproducera
• Eventuell beviskod eller skärmdumpar

• Bekräftelse av din rapport inom 48 timmar.
• Ge en meningsfull bedömning inom 7 dagar.
• Hålla dig informerad medan vi arbetar på en lösning.
• Ge dig offentligt erkännande på vår sida för tackmeddelanden — om du inte föredrar att förbli anonym.

Vi har inget betalt belöningsprogram. Vi erbjuder vårt tack, offentligt erkännande och vetskapen om att du hjälpte till att skydda verkliga användares privata data.