Die englische Fassung dieser Richtlinie ist maßgeblich. Vulnerability disclosure policy

KeenAuth Richtlinie zur Offenlegung von Schwachstellen

KeenAuth wird von dem US-Unternehmen bereitgestellt, das KeenAuth verkauft (Asindie, Inc.), in dieser Richtlinie als „wir“ oder „uns“ bezeichnet. Wir freuen uns über Meldungen von Sicherheitsforschern und aus der Öffentlichkeit. Wenn Sie glauben, in KeenAuth eine Schwachstelle, ein Datenschutzproblem, offengelegte Daten oder ein anderes Sicherheitsproblem gefunden zu haben, möchten wir davon erfahren. Diese Richtlinie erklärt, wie Sie es melden können, was wir von Ihnen erwarten und was Sie von uns erwarten können.

Die Systeme von KeenAuth werden von unserem Lizenzgeber AsindieTR, Ltd. betrieben, der ebenfalls an diese Richtlinie gebunden ist, einschließlich der unten stehenden Safe-Harbor-Zusagen.

Dieser Meldekanal ist immer geöffnet. Er hängt nicht von einer Bug-Bounty-Kampagne ab.

So melden Sie

• Senden Sie eine E-Mail an [email protected]. Verschlüsseln Sie sensible Details mit unserem OpenPGP-Schlüssel: https://trust.keenauth.com/pgp-key.txt.
• Unsere security.txt wird auf jedem Host, den wir betreiben, unter https://<host>/.well-known/security.txt veröffentlicht (RFC 9116).
• Wir lesen Meldungen auf Englisch und Türkisch.
• Bitte fügen Sie hinzu: den betroffenen Host, das Produkt oder die SDK-Version; eine Beschreibung und die Auswirkung; eine schrittweise Reproduktion; einen Proof of Concept; sowie Ihren Namen oder Ihr Pseudonym, falls Sie genannt werden möchten.
• Senden Sie Meldungen nicht über Kundensupport-Tickets oder das Community-Forum.

Geltungsbereich

• Von uns betriebene Hosts: keenauth.com, dashboard.keenauth.com, api.keenauth.com, jeweils api.<region>.keenauth.com, jeweils dashboard-api.<region>.keenauth.com, docs.keenauth.com, trust.keenauth.com und jeder Umgebungs-Host <slug>.<region>.keenauth.app.
• Gehostete Anmeldung von KeenAuth, einschließlich der gehosteten Anmeldeseiten, die von unseren eigenen ersten Kunden verwendet werden.
• SDKs, CLI und MCP-Server von KeenAuth. Eine unsichere Standardeinstellung in einem SDK fällt in den Geltungsbereich.
• Befunde auf einer benutzerdefinierten Domain eines Kunden, die die KeenAuth-Plattform selbst betreffen. Benutzerdefinierte Domains liefern unsere security.txt nicht aus; melden Sie solche Plattformbefunde an [email protected].

Außerhalb des Geltungsbereichs

• ops.keenauth.internal und alle anderen internen Mitarbeitersysteme.
• Die Systeme unserer Infrastrukturanbieter. Melden Sie diese dem jeweiligen Anbieter.
• Die eigenen Anwendungen und Identitätsanbieter unserer Kunden sowie eine Fehlkonfiguration eines SDK oder der Umgebung durch einen Kunden. Melden Sie diese dem Kunden.
• Die Anwendungsoberflächen von Produkten, die KeenAuth als Kunde nutzen (zum Beispiel nSupp, BrieflyUp, MindAI, PostHubify). Deren gehostete Anmeldung über KeenAuth fällt in den Geltungsbereich.
• Denial of Service sowie Volumen- oder Lasttests.
• Social Engineering gegenüber unseren Mitarbeitern, unserem Support oder unseren Kunden, einschließlich Phishing und Telefonbetrug.
• Physische Tests.

Testregeln

• Testen Sie nur mit selbst erstellten Konten im Free-Tarif, höchstens 3 Konten pro Forscher.
• Umgebungen und Endnutzer anderer Kunden sind außerhalb des Geltungsbereichs. Einzige Ausnahme ist der Nachweis eines umgebungsübergreifenden Zugriffs, den Sie ausschließlich mit Ihren eigenen Konten zeigen dürfen.
• Greifen Sie nur auf das Mindestmaß an Daten zu, das zum Nachweis des Problems nötig ist. Wenn Sie auf Daten anderer gelangen, hören Sie sofort auf, melden Sie es uns, löschen Sie alle lokalen Kopien und bestätigen Sie uns die Löschung schriftlich. Danach starten wir unseren Prozess für Vorfälle und Meldungen von Datenschutzverletzungen.
• Beeinträchtigen Sie den Dienst nicht, zerstören Sie keine Daten und schaden Sie niemandes Nutzererlebnis.
• Veröffentlichen Sie das Problem nicht vor dem unten genannten koordinierten Offenlegungsdatum.
• Betreiben Sie keine Erpressung.

Kunden, die ihre eigene Umgebung testen möchten, folgen unserer Richtlinie für Penetrationstests durch Kunden (https://trust.keenauth.com/customer-pentest-policy); deren Regeln entsprechen den obigen Testregeln.

Unsere Zusagen

Koordinierte Offenlegung. Standardmäßig dürfen Sie 90 Tage nach Ihrer Meldung oder sobald Korrektur und unsere Warnmeldung veröffentlicht sind, je nachdem, was früher eintritt, offenlegen. Die Frist kann im beiderseitigen Einvernehmen um höchstens 30 Tage verlängert werden. Warnmeldungen werden unter https://trust.keenauth.com/advisories veröffentlicht. Mit Ihrer Zustimmung nennen wir Sie unter https://trust.keenauth.com/vdp/acknowledgments.

Safe Harbor

Wenn Sie Schwachstellenforschung gemäß dieser Richtlinie betreiben, betrachten wir diese Forschung als:

• im Hinblick auf anwendbare Gesetze gegen Computer-Hacking autorisiert; wir werden gegen Sie wegen unbeabsichtigter Verstöße gegen diese Richtlinie in gutem Glauben keine rechtlichen Schritte einleiten oder unterstützen;
• im Hinblick auf anwendbare Gesetze gegen die Umgehung von Schutzmaßnahmen autorisiert; wir werden keine Forderung wegen der Umgehung technischer Kontrollen gegen Sie geltend machen;
• von Einschränkungen unserer Nutzungsbedingungen und unserer Richtlinie zur akzeptablen Nutzung ausgenommen, die die Sicherheitsforschung behindern würden; diese Einschränkungen verzichten wir in begrenztem Umfang; und
• rechtmäßig, dienlich für die allgemeine Sicherheit des Internets und in gutem Glauben durchgeführt.

Wie immer wird von Ihnen erwartet, dass Sie alle anwendbaren Gesetze einhalten. Wenn ein Dritter rechtliche Schritte gegen Sie einleitet und Sie diese Richtlinie eingehalten haben, werden wir schriftlich erklären, dass Ihre Forschung im Rahmen dieser Richtlinie autorisiert war.

Wenn Sie zu irgendeinem Zeitpunkt unsicher sind, ob Ihre Forschung mit dieser Richtlinie vereinbar ist, wenden Sie sich an [email protected], bevor Sie weitergehen.

Der Safe Harbor gilt nur für rechtliche Ansprüche, die unter unserer Kontrolle stehen. Diese Richtlinie bindet keine unabhängigen Dritten, einschließlich unserer Infrastrukturanbieter und unserer Kunden.

Bug-Bounty-Kampagnen

Wir betreiben kein dauerhaft offenes Bug-Bounty-Programm. Wir führen periodische Bounty-Kampagnen durch: Wir eröffnen jede Kampagne, kündigen ihr Start- und Enddatum, ihren Umfang und ihr Budget an, und Forscher registrieren sich im Voraus. Eine Kampagne öffnet und schließt zum angekündigten Datum und zur angekündigten Uhrzeit (UTC). Meldungen außerhalb einer Kampagne oder von nicht dafür registrierten Forschern erhalten keine Prämie, werden aber im Rahmen dieser Richtlinie mit denselben Zusagen bearbeitet. Wir können nach eigenem Ermessen Dank oder eine Anerkennungsprämie anbieten.

Ihre Daten

Wir verarbeiten Ihren Namen, Ihre E-Mail-Adresse und Ihr Pseudonym nur, um Ihre Meldung zu koordinieren und Sie zu nennen. Wir bewahren sie 3 Jahre nach Abschluss der Meldung auf. Personenbezogene Daten in Anhängen zu Meldungen werden bei der Triage maskiert, und unbearbeitete Anhänge werden nach 30 Tagen gelöscht.

OpenPGP-Schlüssel für [email protected] · Fingerabdruck: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6