นโยบายการเปิดเผยช่องโหว่

เราจะไม่ดำเนินคดีทางกฎหมายกับนักวิจัยด้านความปลอดภัยที่ดำเนินการโดยสุจริตตามนโยบายนี้ การดำเนินการโดยสุจริตหมายถึง: คุณพยายามอย่างแท้จริงที่จะหลีกเลี่ยงการละเมิดความเป็นส่วนตัว การทำลายข้อมูล และการหยุดชะงักของบริการ

หากคุณปฏิบัติตามแนวทางเหล่านี้ เราจะถือว่าการวิจัยของคุณได้รับอนุญาต เราจะทำงานร่วมกับคุณเพื่อทำความเข้าใจและแก้ไขปัญหาอย่างรวดเร็วครับ

ขอบเขตที่ครอบคลุมมีดังนี้:

• clavitor.ai — เว็บไซต์ที่ใช้งานจริง
• *.clavitor.ai — จุดปลายทางของห้องนิรภัยสำหรับ Point of Presence (POP) ทั้งหมด
• /api/ — REST API ของห้องนิรภัย
• /app/ — เว็บ UI ของห้องนิรภัย
• clavitor-cli — CLI ของเอเจนต์
• clavitor-proxy — พร็อกซีข้อมูลรับรอง HTTPS
• ส่วนขยายเบราว์เซอร์ — Chrome, Firefox, Safari

สิ่งที่ไม่อยู่ในขอบเขตมีดังนี้:

• การโจมตีด้วยวิศวกรรมสังคมต่อพนักงานหรือผู้ใช้
• การโจมตีแบบปฏิเสธการให้บริการ
• การโจมตีทางกายภาพต่อโครงสร้างพื้นฐาน
• บริการของบุคคลที่สาม (Paddle, Cloudflare)
• การสแกนอัตโนมัติที่ทำให้ความพร้อมใช้งานของบริการลดลง

• ห้ามเข้าถึง แก้ไข หรือลบข้อมูลห้องนิรภัยของบุคคลอื่น
• ห้ามทำให้ความพร้อมใช้งานของบริการลดลง
• หยุดและรายงานทันทีหากพบข้อมูลผู้ใช้จริง
• โปรดให้เวลาเราอย่างสมเหตุสมผลในการแก้ไขปัญหาก่อนการเปิดเผยต่อสาธารณะ
• ใช้สิทธิ์การเข้าถึงขั้นต่ำที่จำเป็นเพื่อแสดงให้เห็นถึงช่องโหว่

ส่งอีเมลไปที่ security@clavitor.ai สำหรับรายงานที่ละเอียดอ่อน โปรดเข้ารหัสข้อความของคุณด้วย คีย์ PGP ของเรา

โปรดระบุ:

• คำอธิบายของช่องโหว่และผลกระทบที่อาจเกิดขึ้น
• ขั้นตอนในการทำซ้ำ
• โค้ดพิสูจน์แนวคิดหรือภาพหน้าจอใดๆ

• เราจะตอบรับรายงานของคุณภายใน 48 ชั่วโมง
• เราจะประเมินและให้ข้อมูลที่เป็นประโยชน์ภายใน 7 วัน
• แจ้งความคืบหน้าให้คุณทราบในขณะที่เราดำเนินการแก้ไข
• ให้เครดิตคุณต่อสาธารณะในหน้าขอบคุณ ของเรา — เว้นแต่คุณจะไม่ประสงค์ออกนาม

เราไม่มีโปรแกรมจ่ายค่าตอบแทนสำหรับการค้นพบช่องโหว่ เรามอบคำขอบคุณ เครดิตต่อสาธารณะ และความภาคภูมิใจที่คุณได้ช่วยปกป้องข้อมูลส่วนตัวของผู้ใช้จริงครับ