Chính sách công bố lỗ hổng

Chúng tôi sẽ không theo đuổi hành động pháp lý đối với các nhà nghiên cứu bảo mật hành động với thiện chí theo chính sách này. Thiện chí có nghĩa là: bạn nỗ lực thực sự để tránh vi phạm quyền riêng tư, phá hủy dữ liệu và làm gián đoạn dịch vụ.

Nếu bạn tuân thủ các nguyên tắc này, chúng tôi coi nghiên cứu của bạn là được ủy quyền. Chúng tôi sẽ làm việc cùng bạn để nhanh chóng tìm hiểu và giải quyết vấn đề.

Các mục sau đây nằm trong phạm vi:

• clavitor.ai — trang web production
• *.clavitor.ai — tất cả các endpoint két an toàn tại các Điểm hiện diện (POP)
• /api/ — API REST của két an toàn
• /app/ — giao diện web của két an toàn
• clavitor-cli — CLI của tác nhân
• clavitor-proxy — proxy thông tin xác thực HTTPS
• Tiện ích mở rộng trình duyệt — Chrome, Firefox, Safari

Các mục sau đây nằm ngoài phạm vi:

• Tấn công kỹ thuật xã hội nhắm vào nhân viên hoặc người dùng
• Tấn công từ chối dịch vụ
• Tấn công vật lý vào cơ sở hạ tầng
• Dịch vụ bên thứ ba (Paddle, Cloudflare)
• Quét tự động làm ảnh hưởng đến tính khả dụng của dịch vụ

• Không truy cập, sửa đổi hoặc xóa dữ liệu két an toàn của người khác.
• Không làm ảnh hưởng đến tính khả dụng của dịch vụ.
• Hãy dừng lại và báo cáo ngay lập tức nếu bạn tiếp xúc với dữ liệu người dùng thực.
• Hãy cho chúng tôi thời gian hợp lý để khắc phục sự cố trước khi công bố ra công chúng.
• Sử dụng quyền truy cập tối thiểu cần thiết để chứng minh lỗ hổng.

Gửi email tới security@clavitor.ai. Đối với các báo cáo nhạy cảm, hãy mã hóa tin nhắn của bạn bằng khóa PGP của chúng tôi.

Bao gồm:

• Mô tả về lỗ hổng và tác động tiềm ẩn của nó
• Các bước tái tạo
• Bất kỳ đoạn mã proof-of-concept hoặc ảnh chụp màn hình nào

• Xác nhận đã nhận báo cáo của bạn trong vòng 48 giờ.
• Cung cấp đánh giá cụ thể trong vòng 7 ngày.
• Cập nhật thông tin cho bạn trong quá trình chúng tôi khắc phục sự cố.
• Ghi nhận đóng góp của bạn công khai trên trang ghi nhận của chúng tôi — trừ khi bạn muốn ẩn danh.

Chúng tôi không điều hành chương trình săn lỗi trả thưởng. Chúng tôi xin gửi lời cảm ơn, sự ghi nhận công khai và niềm tự hào rằng bạn đã giúp bảo vệ dữ liệu riêng tư của người dùng thực.