漏洞披露政策

我们不会对根据本政策善意行事的安全研究人员采取法律行动。善意是指：您切实努力避免侵犯隐私、破坏数据和中断服务。

如果您遵循这些准则，我们将视您的研究为授权行为。我们将与您合作，尽快了解并解决该问题。

以下在授权范围内：

• clavitor.ai — 生产环境网站
• *.clavitor.ai — 所有接入点 (POP) 保管库端点
• /api/ — 保管库 REST API
• /app/ — 保管库 Web UI
• clavitor-cli — 智能体 CLI
• clavitor-proxy — HTTPS 凭据代理
• 浏览器扩展 — Chrome、Firefox、Safari

以下不在授权范围内：

• 对员工或用户进行社会工程学攻击
• 拒绝服务攻击
• 针对基础设施的物理攻击
• 第三方服务（Paddle、Cloudflare）
• 降低服务可用性的自动化扫描

• 请勿访问、修改或删除他人的保管库数据。
• 请勿降低服务可用性。
• 如果遇到真实用户数据，请立即停止并报告。
• 在进行任何公开披露之前，请给我们合理的时间来修复问题。
• 仅使用证明漏洞所需的最小访问权限。

发送电子邮件至 security@clavitor.ai。对于敏感报告，请使用我们的 PGP 密钥 加密您的消息。

请包含：

• 漏洞描述及其潜在影响
• 复现步骤
• 任何概念验证代码或截图

• 在 48 小时内确认收到您的报告。
• 在 7 天内提供有意义的评估。
• 在修复过程中随时向您通报进展。
• 在我们的致谢页面公开感谢您——除非您希望保持匿名。

我们不运行付费漏洞赏金计划。我们提供诚挚的感谢、公开致谢，以及您帮助保护了真实用户私密数据的成就感。