La sécurité chez KeenAuth
Vous avez trouvé un problème de sécurité ? Nous voulons vous lire.
Notre canal de signalement est toujours ouvert. Lisez comment signaler, ce que nous attendons des chercheurs et ce que vous pouvez attendre de nous.
Signaler une vulnérabilitéPolitique de divulgation des vulnérabilités
[email protected]Chiffrez les détails sensibles avec notre clé OpenPGP.
Le programme en un coup d'œil
Nos engagements, dans un seul tableau. Chaque ligne renvoie à sa source.
| Élément | Statut | Détail |
|---|---|---|
| Canal de signalement | Toujours ouvert | Écrivez à [email protected]. Ce canal ne dépend d'aucune campagne de bug bounty. |
| Politique de divulgation | Publiée | Périmètre, règles de test, délais de réponse et protection des chercheurs en 8 langues. Le texte anglais fait foi. |
| Protection des chercheurs (safe harbor) | En vigueur | Nous n'engagerons ni ne soutiendrons aucune action en justice pour des infractions accidentelles et de bonne foi à la politique. |
| Bug bounty | Campagnes périodiques | Chaque campagne est annoncée avec ses dates, son périmètre et son budget. Les signalements hors campagne bénéficient des mêmes engagements. |
| security.txt | Signé | Fichier de contact RFC 9116 sur chaque hôte que nous exploitons. La copie sur trust.keenauth.com est signée avec OpenPGP. |
| Avis de sécurité | Flux Atom | Problèmes corrigés, avec gravité, vecteur CVSS 4.0 et versions concernées. |
Conformité
Nous n'affichons un référentiel comme détenu que lorsqu'un rapport d'audit ou un certificat daté existe. D'ici là, chaque ligne indique notre situation.
- SOC 2Pas encore auditéL'audit commence après le lancement. Lorsque le rapport existera, cette ligne indiquera sa date et l'auditeur.
- ISO/IEC 27001Non certifiéNos contrôles sont conçus selon ISO/IEC 27001, 27017 et 27018. Nous ne détenons aucun certificat.
- GDPRConçu pour la conformitéKeenAuth est conçu selon le droit de l'UE. Le contrat de traitement des données et la liste des sous-traitants seront publiés ici avant le lancement.
- EU Cyber Resilience ActConçu pour la conformitéLa gestion des vulnérabilités, cette politique de divulgation et nos avis suivent les exigences du Cyber Resilience Act.
Nos engagements de réponse
- 2jours ouvréspour accuser réception de votre signalement
- 5jours ouvréspour le trier avec un score CVSS 4.0
- 14joursau plus entre deux points d'avancement
- 90joursavant que vous puissiez divulguer par défaut
Ce qui se passe après votre signalement
Vous signalez
Écrivez à [email protected] en indiquant l'hôte ou la version concernés, l'impact et les étapes de reproduction. Chiffrez les détails sensibles avec notre clé OpenPGP.
Nous accusons réception et trions
Nous accusons réception de votre signalement sous 2 jours ouvrés et vous envoyons le résultat du tri, avec un score CVSS 4.0, sous 5 jours ouvrés.
Nous corrigeons et coordonnons la divulgation
Nous vous envoyons un point d'avancement au moins tous les 14 jours, corrigeons le problème dans le délai cible de sa gravité et coordonnons avec vous la divulgation publique.
Ressources
- Politique de divulgation des vulnérabilitésPérimètre, règles de test, délais de réponse et protection des chercheurs.
- Bulletins de sécuritéProblèmes de sécurité corrigés, avec gravité et versions concernées. Également disponibles en flux Atom.
- Remerciements en matière de sécuritéChercheurs qui nous ont signalé des problèmes de manière responsable, cités avec leur consentement.
- security.txt (RFC 9116)Notre contact de sécurité lisible par machine, signé avec notre clé OpenPGP.
Questions et réponses
Comment signaler une vulnérabilité ?
Écrivez à [email protected]. Indiquez l'hôte ou la version du produit ou du SDK concerné, l'impact, la reproduction pas à pas et une preuve de concept. N'utilisez pas les tickets de support ni le forum communautaire.
Ma recherche est-elle protégée ?
La recherche qui respecte la politique est considérée comme autorisée. Nous n'engagerons ni ne soutiendrons aucune action en justice contre vous pour des infractions accidentelles et de bonne foi.
Versez-vous des primes ?
Nous ne tenons pas de programme bug bounty ouvert en permanence. Nous organisons des campagnes périodiques, annoncées avec dates, périmètre et budget ; les chercheurs s'inscrivent à l'avance. Les signalements hors campagne sont traités avec les mêmes engagements.
Qu'est-ce qui est hors périmètre ?
Le déni de service et les tests de charge, l'ingénierie sociale, les tests physiques, les systèmes de nos fournisseurs d'infrastructure et les applications propres à nos clients. La politique contient la liste complète.
Comment vérifier que notre security.txt est authentique ?
Téléchargez notre clé OpenPGP, comparez son empreinte à celle de cette page et vérifiez la signature du fichier avec gpg --verify.
Dans quelles langues puis-je écrire ?
En anglais ou en turc.
Chiffrez votre signalement
Signalez un problème de sécurité par e-mail à [email protected]. Chiffrez les détails sensibles avec notre clé OpenPGP.
Empreinte0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6