Політика розкриття вразливостей

Ми не будемо вживати юридичних заходів проти дослідників безпеки, які діють добросовісно відповідно до цієї політики. Добросовісність означає: Ви докладаєте щирих зусиль, щоб уникнути порушень конфіденційності, знищення даних та перебоїв у роботі сервісу.

Якщо Ви дотримуватиметеся цих вказівок, ми вважатимемо Ваше дослідження авторизованим. Ми працюватимемо з Вами, щоб швидко зрозуміти та вирішити проблему.

У межах дії:

• clavitor.ai — виробничий вебсайт
• *.clavitor.ai — усі кінцеві точки сховища Point of Presence (POP)
• /api/ — REST API сховища
• /app/ — веб-інтерфейс сховища
• clavitor-cli — CLI агента
• clavitor-proxy — HTTPS проксі облікових даних
• Розширення для браузера — Chrome, Firefox, Safari

Поза межами дії:

• Соціальна інженерія персоналу або користувачів
• Атаки типу "відмова в обслуговуванні"
• Фізичні атаки на інфраструктуру
• Сторонні сервіси (Paddle, Cloudflare)
• Автоматизоване сканування, що погіршує доступність сервісу

• Не отримуйте доступ, не змінюйте та не видаляйте дані сховища іншої особи.
• Не погіршуйте доступність сервісу.
• Негайно зупиніться та повідомте, якщо Ви зіткнетеся з реальними даними користувачів.
• Надайте нам достатньо часу для виправлення проблем перед будь-яким публічним розкриттям.
• Використовуйте мінімально необхідний доступ для демонстрації вразливості.

Напишіть на security@clavitor.ai. Для конфіденційних звітів зашифруйте своє повідомлення нашим PGP ключем.

Включіть:

• Опис вразливості та її потенційного впливу
• Кроки для відтворення
• Будь-який код доказу концепції або скріншоти

• Підтвердимо отримання Вашого звіту протягом 48 годин.
• Надамо змістовну оцінку протягом 7 днів.
• Триматимемо Вас в курсі під час роботи над виправленням.
• Публічно відзначимо Вас на нашій сторінці подяк — якщо Ви не віддаєте перевагу анонімності.

Ми не проводимо платну програму винагород. Ми пропонуємо нашу подяку, публічне визнання та знання того, що Ви допомогли захистити приватні дані реальних користувачів.