La versión en inglés de esta política es la vinculante. Vulnerability disclosure policy

Política de divulgación de vulnerabilidades de KeenAuth

KeenAuth lo proporciona la empresa estadounidense que vende KeenAuth (Asindie, Inc.), a la que esta política se refiere como "nosotros". Damos la bienvenida a los informes de investigadores de seguridad y del público. Si crees haber encontrado una vulnerabilidad, un problema de privacidad, datos expuestos u otro problema de seguridad en KeenAuth, queremos saberlo. Esta política explica cómo informarlo, qué esperamos de ti y qué puedes esperar de nosotros.

Los sistemas de KeenAuth los opera nuestro licenciante AsindieTR, Ltd., que también está obligado por esta política, incluidos los compromisos de Safe Harbor que figuran más abajo.

Este canal de notificación siempre está abierto. No depende de ninguna campaña de bug bounty.

Cómo informar

• Envía un correo a [email protected]. Cifra los detalles sensibles con nuestra clave OpenPGP: https://trust.keenauth.com/pgp-key.txt.
• Nuestro security.txt se publica en https://<host>/.well-known/security.txt en cada host que operamos (RFC 9116).
• Leemos los informes en inglés y en turco.
• Incluye: el host, el producto o la versión del SDK afectados; una descripción y el impacto; una reproducción paso a paso; una prueba de concepto; y tu nombre o alias si deseas que se te acredite.
• No envíes informes mediante tickets de atención al cliente ni del foro de la comunidad.

Alcance

• Hosts que operamos: keenauth.com, dashboard.keenauth.com, api.keenauth.com, cada api.<region>.keenauth.com, cada dashboard-api.<region>.keenauth.com, docs.keenauth.com, trust.keenauth.com y cada host de entorno <slug>.<region>.keenauth.app.
• El inicio de sesión alojado de KeenAuth, incluidas las páginas de inicio de sesión alojadas que usan nuestros primeros clientes.
• Los SDK, la CLI y el servidor MCP de KeenAuth. Un valor predeterminado inseguro en un SDK está dentro del alcance.
• Hallazgos en un dominio personalizado de un cliente que afecten a la propia plataforma KeenAuth. Los dominios personalizados no sirven nuestro security.txt; informa de estos hallazgos de la plataforma a [email protected].

Fuera del alcance

• ops.keenauth.internal y cualquier otro sistema interno del personal.
• Los sistemas de nuestros proveedores de infraestructura. Informa de ellos al proveedor.
• Las aplicaciones y proveedores de identidad propios de nuestros clientes, y la configuración incorrecta de un SDK o de su entorno por parte de un cliente. Informa de ellos al cliente.
• Las superficies de aplicación de los productos que usan KeenAuth como clientes (por ejemplo, nSupp, BrieflyUp, MindAI, PostHubify). Su inicio de sesión alojado en KeenAuth está dentro del alcance.
• Denegación de servicio y pruebas de volumen o de carga.
• Ingeniería social dirigida a nuestro personal, a soporte o a nuestros clientes, incluidos el phishing y el fraude telefónico.
• Pruebas físicas.

Reglas de prueba

• Prueba solo con cuentas que hayas creado tú mismo en el plan Free, como máximo 3 cuentas por investigador.
• Los entornos y los usuarios finales de otros clientes están fuera del alcance. La única excepción es demostrar el acceso entre entornos, que debes mostrar usando únicamente tus propias cuentas.
• Accede al mínimo de datos necesario para demostrar el problema. Si accedes a datos de otra persona, detente de inmediato, infórmanos, elimina cualquier copia local y confírmanos la eliminación por escrito. Después iniciaremos nuestro proceso de gestión de incidentes y de notificación de brechas.
• No degrades el servicio, no destruyas datos ni perjudiques la experiencia de ningún usuario.
• No reveles públicamente el problema antes de la fecha de divulgación coordinada indicada más abajo.
• No participes en extorsiones.

Los clientes que quieran probar su propio entorno siguen nuestra política de pruebas de penetración para clientes (https://trust.keenauth.com/customer-pentest-policy); sus reglas son las mismas que las reglas de prueba anteriores.

Nuestros compromisos

Divulgación coordinada. De forma predeterminada, puedes divulgar el problema 90 días después de tu informe o cuando la corrección y nuestro aviso se publiquen, lo que ocurra primero. El plazo puede ampliarse hasta 30 días más por acuerdo mutuo. Los avisos se publican en https://trust.keenauth.com/advisories. Con tu consentimiento, te acreditamos en https://trust.keenauth.com/vdp/acknowledgments.

Safe harbor (puerto seguro)

Cuando realices investigación de vulnerabilidades de acuerdo con esta política, consideraremos dicha investigación como:

• autorizada en lo que respecta a cualquier ley aplicable contra la piratería informática, y no iniciaremos ni apoyaremos ninguna acción legal contra ti por infracciones accidentales y de buena fe de esta política;
• autorizada en lo que respecta a cualquier ley aplicable contra la elusión de medidas tecnológicas, y no presentaremos ninguna reclamación contra ti por eludir controles tecnológicos;
• exenta de las restricciones de nuestros Términos de Servicio y de nuestra Política de Uso Aceptable que pudieran interferir con la investigación de seguridad, y renunciamos a dichas restricciones de forma limitada; y
• lícita, útil para la seguridad general de Internet y realizada de buena fe.

Como siempre, se espera que cumplas todas las leyes aplicables. Si un tercero inicia una acción legal contra ti y tú has cumplido esta política, declararemos por escrito que tu investigación estaba autorizada bajo esta política.

Si en algún momento no estás seguro de si tu investigación es coherente con esta política, ponte en contacto con [email protected] antes de seguir adelante.

El safe harbor solo se aplica a las reclamaciones legales bajo nuestro control. Esta política no vincula a terceros independientes, incluidos nuestros proveedores de infraestructura y nuestros clientes.

Campañas de bug bounty

No mantenemos un bug bounty abierto de forma permanente. Realizamos campañas de recompensas periódicas: abrimos cada campaña, anunciamos sus fechas de inicio y fin, su alcance y su presupuesto, y los investigadores se registran con antelación. Una campaña se abre y se cierra en la fecha y hora anunciadas (UTC). Los informes fuera de campaña, o de investigadores no registrados en ella, no reciben recompensa, pero se gestionan conforme a esta política con los mismos compromisos. Podemos, a nuestra discreción, ofrecer un agradecimiento o una recompensa de buena voluntad.

Tus datos

Tratamos tu nombre, dirección de correo electrónico y alias solo para coordinar tu informe y para acreditarte. Los conservamos durante 3 años tras el cierre del informe. Los datos personales de los archivos adjuntos a los informes se enmascaran durante el triaje, y los archivos adjuntos originales se eliminan a los 30 días.

Clave OpenPGP de [email protected] · Huella digital: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6