La sicurezza in KeenAuth
Hai trovato un problema di sicurezza? Vogliamo sentirti.
Il nostro canale di segnalazione è sempre aperto. Leggi come segnalare, cosa ci aspettiamo dai ricercatori e cosa puoi aspettarti da noi.
Segnala una vulnerabilitàPolitica di divulgazione delle vulnerabilità
[email protected]Cifra i dettagli sensibili con la nostra chiave OpenPGP.
Il programma in sintesi
Ciò a cui ci impegniamo, in un'unica tabella. Ogni riga rimanda alla propria fonte.
| Voce | Stato | Dettaglio |
|---|---|---|
| Canale di segnalazione | Sempre aperto | Scrivi a [email protected]. Il canale non dipende da alcuna campagna di bug bounty. |
| Politica di divulgazione | Pubblicata | Ambito, regole di test, tempi di risposta e safe harbor in 8 lingue. Il testo inglese è vincolante. |
| Safe harbor | In vigore | Non avvieremo né sosterremo azioni legali per violazioni accidentali e in buona fede della politica. |
| Bug bounty | Campagne periodiche | Ogni campagna è annunciata con date, ambito e budget. Le segnalazioni fuori campagna ricevono gli stessi impegni. |
| security.txt | Firmato | File di contatto RFC 9116 su ogni host che gestiamo. La copia su trust.keenauth.com è firmata con OpenPGP. |
| Avvisi di sicurezza | Feed Atom | Problemi corretti con gravità, vettore CVSS 4.0 e versioni interessate. |
Conformità
Indichiamo un framework come posseduto solo quando esiste un rapporto di audit o un certificato datato. Fino ad allora, ogni riga indica a che punto siamo.
- SOC 2Non ancora sottoposto ad auditL'audit inizia dopo il lancio. Quando il rapporto sarà disponibile, questa riga ne mostrerà data e revisore.
- ISO/IEC 27001Non certificatoI nostri controlli sono progettati secondo ISO/IEC 27001, 27017 e 27018. Non possediamo alcun certificato.
- GDPRProgettato per la conformitàKeenAuth è sviluppato secondo il diritto dell'UE. Il contratto di trattamento dei dati e l'elenco dei sub-responsabili saranno pubblicati qui prima del lancio.
- EU Cyber Resilience ActProgettato per la conformitàLa gestione delle vulnerabilità, questa politica di divulgazione e i nostri avvisi seguono i requisiti del Cyber Resilience Act.
I nostri impegni di risposta
- 2giorni lavorativiper confermare la tua segnalazione
- 5giorni lavorativiper la valutazione con un punteggio CVSS 4.0
- 14giornial massimo tra un aggiornamento di stato e l'altro
- 90giornifino a quando puoi divulgare per impostazione predefinita
Cosa succede dopo la segnalazione
Tu segnali
Scrivi a [email protected] indicando host o versione interessati, impatto e passi per riprodurre il problema. Cifra i dettagli sensibili con la nostra chiave OpenPGP.
Confermiamo e valutiamo
Confermiamo la tua segnalazione entro 2 giorni lavorativi e ti inviamo l'esito della valutazione con un punteggio CVSS 4.0 entro 5 giorni lavorativi.
Correggiamo e coordiniamo la divulgazione
Ti inviamo un aggiornamento di stato almeno ogni 14 giorni, correggiamo il problema entro il termine previsto per la sua gravità e coordiniamo con te la divulgazione pubblica.
Risorse
- Politica di divulgazione delle vulnerabilitàAmbito, regole di test, nostri tempi di risposta e safe harbor.
- Avvisi di sicurezzaProblemi di sicurezza corretti, con gravità e versioni interessate. Disponibili anche come feed Atom.
- Ringraziamenti per la sicurezzaRicercatori che ci hanno segnalato problemi in modo responsabile, elencati con il loro consenso.
- security.txt (RFC 9116)Il nostro contatto di sicurezza leggibile dalle macchine, firmato con la nostra chiave OpenPGP.
Domande e risposte
Come segnalo una vulnerabilità?
Scrivi a [email protected]. Includi host, versione del prodotto o dell'SDK interessati, impatto, riproduzione passo passo e una proof of concept. Non usare ticket di supporto né il forum della community.
La mia ricerca è protetta?
La ricerca conforme alla politica è considerata autorizzata. Non avvieremo né sosterremo azioni legali nei tuoi confronti per violazioni accidentali e in buona fede.
Pagate ricompense?
Non gestiamo un programma bug bounty permanentemente aperto. Organizziamo campagne periodiche, annunciate con date, ambito e budget; i ricercatori si registrano in anticipo. Le segnalazioni fuori campagna sono gestite con gli stessi impegni.
Cosa è escluso dall'ambito?
Denial of service e test di carico, ingegneria sociale, test fisici, i sistemi dei nostri fornitori di infrastruttura e le applicazioni dei nostri clienti. La politica contiene l'elenco completo.
Come verifico che il nostro security.txt sia autentico?
Scarica la nostra chiave OpenPGP, confronta la sua impronta con quella di questa pagina e verifica la firma del file con gpg --verify.
In quali lingue posso scrivere?
In inglese o in turco.
Cifra la tua segnalazione
Segnala un problema di sicurezza via e-mail a [email protected]. Cifra i dettagli sensibili con la nostra chiave OpenPGP.
Impronta digitale0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6