La version anglaise de cette politique fait foi. Vulnerability disclosure policy

Politique de divulgation de vulnérabilités de KeenAuth

KeenAuth est fourni par la société américaine qui vend KeenAuth (Asindie, Inc.), désignée dans cette politique par « nous ». Nous accueillons les signalements des chercheurs en sécurité et du public. Si vous pensez avoir découvert une vulnérabilité, un problème de confidentialité, une exposition de données ou un autre problème de sécurité dans KeenAuth, nous souhaitons en être informés. Cette politique explique comment le signaler, ce que nous attendons de vous et ce que vous pouvez attendre de nous.

Les systèmes de KeenAuth sont exploités par notre concédant de licence AsindieTR, Ltd., qui est également lié par cette politique, y compris par les engagements de Safe Harbor ci-dessous.

Ce canal de signalement est toujours ouvert. Il ne dépend d'aucune campagne de bug bounty.

Comment signaler

• Envoyez un e-mail à [email protected]. Chiffrez les détails sensibles avec notre clé OpenPGP : https://trust.keenauth.com/pgp-key.txt.
• Notre security.txt est publié à l'adresse https://<host>/.well-known/security.txt sur chaque hôte que nous exploitons (RFC 9116).
• Nous lisons les signalements en anglais et en turc.
• Veuillez inclure : l'hôte, le produit ou la version du SDK concerné ; une description et l'impact ; une reproduction pas à pas ; une preuve de concept ; et votre nom ou pseudonyme si vous souhaitez être crédité.
• N'envoyez pas de signalements via les tickets du support client ou le forum communautaire.

Périmètre

• Hôtes que nous exploitons : keenauth.com, dashboard.keenauth.com, api.keenauth.com, chaque api.<region>.keenauth.com, chaque dashboard-api.<region>.keenauth.com, docs.keenauth.com, trust.keenauth.com, et chaque hôte d'environnement <slug>.<region>.keenauth.app.
• La connexion hébergée KeenAuth, y compris les pages de connexion hébergées utilisées par nos propres premiers clients.
• Les SDK, la CLI et le serveur MCP de KeenAuth. Une valeur par défaut non sécurisée dans un SDK est dans le périmètre.
• Les découvertes sur un domaine personnalisé d'un client qui affectent la plateforme KeenAuth elle-même. Les domaines personnalisés ne servent pas notre security.txt ; signalez ces découvertes de plateforme à [email protected].

Hors périmètre

• ops.keenauth.internal et tout autre système interne du personnel.
• Les systèmes de nos fournisseurs d'infrastructure. Signalez-les au fournisseur.
• Les applications et fournisseurs d'identité propres à nos clients, ainsi que la mauvaise configuration d'un SDK ou de leur environnement par un client. Signalez-les au client.
• Les surfaces applicatives des produits qui utilisent KeenAuth en tant que client (par exemple nSupp, BrieflyUp, MindAI, PostHubify). Leur connexion hébergée sur KeenAuth est dans le périmètre.
• Le déni de service ainsi que les tests de volume ou de charge.
• L'ingénierie sociale visant notre personnel, notre support ou nos clients, y compris l'hameçonnage et la fraude téléphonique.
• Les tests physiques.

Règles de test

• Ne testez qu'avec des comptes que vous avez créés vous-même sur le plan Free, au maximum 3 comptes par chercheur.
• Les environnements et les utilisateurs finaux des autres clients sont hors périmètre. La seule exception est la démonstration d'un accès inter-environnements, que vous devez montrer uniquement avec vos propres comptes.
• Accédez au minimum de données nécessaire pour démontrer le problème. Si vous accédez aux données de quelqu'un d'autre, arrêtez immédiatement, signalez-le-nous, supprimez toute copie locale et confirmez-nous la suppression par écrit. Nous lancerons alors notre processus de gestion d'incident et de notification de violation.
• Ne dégradez pas le service, ne détruisez pas de données et ne nuisez à l'expérience d'aucun utilisateur.
• Ne divulguez pas publiquement le problème avant la date de divulgation coordonnée ci-dessous.
• Ne vous livrez pas à l'extorsion.

Les clients qui souhaitent tester leur propre environnement suivent notre politique de tests d'intrusion client (https://trust.keenauth.com/customer-pentest-policy) ; ses règles sont identiques aux règles de test ci-dessus.

Nos engagements

Divulgation coordonnée. Par défaut, vous pouvez divulguer 90 jours après votre signalement, ou une fois le correctif et notre avis publiés, selon ce qui survient en premier. Ce délai peut être prolongé de 30 jours au maximum par accord mutuel. Les avis sont publiés à l'adresse https://trust.keenauth.com/advisories. Avec votre accord, nous vous mentionnons à l'adresse https://trust.keenauth.com/vdp/acknowledgments.

Safe harbor (sphère de sécurité juridique)

Lorsque vous menez une recherche de vulnérabilités conformément à cette politique, nous considérons cette recherche comme :

• autorisée au regard de toute loi applicable contre le piratage informatique, et nous n'engagerons ni ne soutiendrons aucune action en justice contre vous pour des infractions accidentelles et de bonne foi à cette politique ;
• autorisée au regard de toute loi applicable contre le contournement de mesures techniques, et nous n'engagerons aucune réclamation contre vous pour contournement de contrôles techniques ;
• exemptée des restrictions de nos Conditions d'utilisation et de notre Politique d'utilisation acceptable qui entraveraient la recherche en sécurité, et nous renonçons à ces restrictions de manière limitée ; et
• licite, utile à la sécurité globale de l'Internet, et menée de bonne foi.

Vous devez, comme toujours, respecter toutes les lois applicables. Si un tiers engage une action en justice contre vous et que vous avez respecté cette politique, nous indiquerons par écrit que votre recherche était autorisée au titre de cette politique.

Si, à tout moment, vous doutez que votre recherche soit conforme à cette politique, contactez [email protected] avant d'aller plus loin.

Le safe harbor ne s'applique qu'aux réclamations juridiques relevant de notre contrôle. Cette politique ne lie pas les tiers indépendants, y compris nos fournisseurs d'infrastructure et nos clients.

Campagnes de bug bounty

Nous n'exploitons pas de programme de bug bounty ouvert en permanence. Nous lançons des campagnes de primes périodiques : nous ouvrons chaque campagne, annonçons ses dates de début et de fin, son périmètre et son budget, et les chercheurs s'y inscrivent à l'avance. Une campagne s'ouvre et se ferme à la date et à l'heure annoncées (UTC). Les signalements hors campagne, ou émanant de chercheurs non inscrits, ne donnent droit à aucune prime, mais sont traités selon cette politique avec les mêmes engagements. Nous pouvons, à notre discrétion, offrir des remerciements ou une récompense de bonne volonté.

Vos données

Nous traitons votre nom, votre adresse e-mail et votre pseudonyme uniquement pour coordonner votre signalement et pour vous créditer. Nous les conservons pendant 3 ans après la clôture du signalement. Les données personnelles contenues dans les pièces jointes sont masquées lors du tri, et les pièces jointes brutes sont supprimées après 30 jours.

Clé OpenPGP pour [email protected] · Empreinte: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6