La seguridad en KeenAuth
¿Ha encontrado un problema de seguridad? Queremos saber de usted.
Nuestro canal de reporte está siempre abierto. Lea cómo informar, qué esperamos de las personas investigadoras y qué puede esperar de nosotros.
Reportar una vulnerabilidadPolítica de divulgación de vulnerabilidades
[email protected]Cifre los detalles sensibles con nuestra clave OpenPGP.
El programa de un vistazo
Lo que nos comprometemos a cumplir, en una sola tabla. Cada fila enlaza con su fuente.
| Elemento | Estado | Detalle |
|---|---|---|
| Canal de reporte | Siempre abierto | Escriba a [email protected]. El canal no depende de ninguna campaña de bug bounty. |
| Política de divulgación | Publicada | Alcance, reglas de prueba, tiempos de respuesta y safe harbor en 8 idiomas. El texto en inglés es vinculante. |
| Safe harbor | Vigente | No iniciaremos ni apoyaremos acciones legales por infracciones accidentales y de buena fe de la política. |
| Bug bounty | Campañas periódicas | Cada campaña se anuncia con sus fechas, alcance y presupuesto. Los reportes fuera de campaña reciben los mismos compromisos. |
| security.txt | Firmado | Archivo de contacto RFC 9116 en cada host que operamos. La copia en trust.keenauth.com está firmada con OpenPGP. |
| Avisos de seguridad | Feed Atom | Problemas corregidos con gravedad, vector CVSS 4.0 y versiones afectadas. |
Cumplimiento
Solo mostramos un marco como cumplido cuando existe un informe de auditoría o un certificado fechado. Hasta entonces, cada fila indica nuestra situación.
- SOC 2Aún no auditadoLa auditoría comienza después del lanzamiento. Cuando exista el informe, esta fila mostrará su fecha y el auditor.
- ISO/IEC 27001No certificadoNuestros controles están diseñados según ISO/IEC 27001, 27017 y 27018. No tenemos certificado.
- GDPRDiseñado para cumplirKeenAuth se desarrolla conforme al derecho de la UE. El acuerdo de tratamiento de datos y la lista de subencargados se publicarán aquí antes del lanzamiento.
- EU Cyber Resilience ActDiseñado para cumplirLa gestión de vulnerabilidades, esta política de divulgación y nuestros avisos siguen los requisitos de la Ley de Ciberresiliencia.
Nuestros compromisos de respuesta
- 2días hábilespara acusar recibo de su reporte
- 5días hábilespara evaluarlo con una puntuación CVSS 4.0
- 14díascomo máximo entre actualizaciones de estado
- 90díashasta que pueda divulgar por defecto
Qué ocurre después de su reporte
Usted reporta
Escriba a [email protected] indicando el host o la versión afectados, el impacto y los pasos para reproducirlo. Cifre los detalles sensibles con nuestra clave OpenPGP.
Acusamos recibo y evaluamos
Acusamos recibo de su reporte en 2 días hábiles y le enviamos el resultado de la evaluación con una puntuación CVSS 4.0 en 5 días hábiles.
Corregimos y coordinamos la divulgación
Le enviamos una actualización de estado al menos cada 14 días, corregimos el problema dentro del plazo objetivo de su gravedad y coordinamos con usted la divulgación pública.
Recursos
- Política de divulgación de vulnerabilidadesAlcance, reglas de prueba, nuestros tiempos de respuesta y safe harbor.
- Avisos de seguridadProblemas de seguridad corregidos, con gravedad y versiones afectadas. También disponibles como feed Atom.
- Agradecimientos de seguridadPersonas investigadoras que nos informaron problemas de forma responsable, listadas con su consentimiento.
- security.txt (RFC 9116)Nuestro contacto de seguridad legible por máquinas, firmado con nuestra clave OpenPGP.
Preguntas y respuestas
¿Cómo reporto una vulnerabilidad?
Escriba a [email protected]. Incluya el host, la versión del producto o del SDK afectados, el impacto, la reproducción paso a paso y una prueba de concepto. No use tickets de soporte ni el foro de la comunidad.
¿Está protegida mi investigación?
La investigación que sigue la política se considera autorizada. No iniciaremos ni apoyaremos acciones legales contra usted por infracciones accidentales y de buena fe.
¿Pagan recompensas?
No mantenemos un programa de bug bounty permanentemente abierto. Realizamos campañas periódicas, anunciadas con fechas, alcance y presupuesto; las personas investigadoras se registran por adelantado. Los reportes fuera de campaña se gestionan con los mismos compromisos.
¿Qué queda fuera del alcance?
La denegación de servicio y las pruebas de carga, la ingeniería social, las pruebas físicas, los sistemas de nuestros proveedores de infraestructura y las aplicaciones propias de nuestros clientes. La política tiene la lista completa.
¿Cómo compruebo que nuestro security.txt es auténtico?
Descargue nuestra clave OpenPGP, compare su huella con la de esta página y verifique la firma del archivo con gpg --verify.
¿En qué idiomas puedo escribir?
En inglés o en turco.
Cifre su reporte
Comunica un problema de seguridad por correo electrónico a [email protected]. Cifra los detalles sensibles con nuestra clave OpenPGP.
Huella digital0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6