La versione inglese di questa politica è quella vincolante. Vulnerability disclosure policy

Politica di divulgazione delle vulnerabilità di KeenAuth

KeenAuth è fornito da la società statunitense che vende KeenAuth (Asindie, Inc.), indicata in questa politica come "noi". Accogliamo le segnalazioni di ricercatori di sicurezza e del pubblico. Se ritieni di aver individuato una vulnerabilità, un problema di privacy, dati esposti o un altro problema di sicurezza in KeenAuth, vogliamo saperlo. Questa politica spiega come segnalarlo, cosa ci aspettiamo da te e cosa puoi aspettarti da noi.

I sistemi di KeenAuth sono gestiti dal nostro licenziante AsindieTR, Ltd., che è anch'essa vincolata da questa politica, comprese le garanzie di Safe Harbor riportate di seguito.

Questo canale di segnalazione è sempre aperto. Non dipende da alcuna campagna di bug bounty.

Come segnalare

• Invia un'email a [email protected]. Cifra i dettagli sensibili con la nostra chiave OpenPGP: https://trust.keenauth.com/pgp-key.txt.
• Il nostro security.txt è pubblicato all'indirizzo https://<host>/.well-known/security.txt su ogni host che gestiamo (RFC 9116).
• Leggiamo le segnalazioni in inglese e in turco.
• Includi: l'host, il prodotto o la versione dell'SDK interessati; una descrizione e l'impatto; una riproduzione passo per passo; una proof of concept; e il tuo nome o nickname se desideri essere citato.
• Non inviare segnalazioni tramite i ticket del supporto clienti o il forum della community.

Ambito

• Host che gestiamo: keenauth.com, dashboard.keenauth.com, api.keenauth.com, ciascun api.<region>.keenauth.com, ciascun dashboard-api.<region>.keenauth.com, docs.keenauth.com, trust.keenauth.com e ciascun host di ambiente <slug>.<region>.keenauth.app.
• Il login ospitato di KeenAuth, incluse le pagine di login ospitate usate dai nostri primi clienti.
• Gli SDK, la CLI e il server MCP di KeenAuth. Un'impostazione predefinita insicura in un SDK rientra nell'ambito.
• Riscontri su un dominio personalizzato di un cliente che incidono sulla piattaforma KeenAuth stessa. I domini personalizzati non servono il nostro security.txt; segnala questi riscontri di piattaforma a [email protected].

Fuori ambito

• ops.keenauth.internal e qualsiasi altro sistema interno del personale.
• I sistemi dei nostri fornitori di infrastruttura. Segnalali al fornitore.
• Le applicazioni e i provider di identità propri dei clienti, e l'errata configurazione di un SDK o del proprio ambiente da parte di un cliente. Segnalali al cliente.
• Le superfici applicative dei prodotti che usano KeenAuth come clienti (ad esempio nSupp, BrieflyUp, MindAI, PostHubify). Il loro login ospitato su KeenAuth rientra nell'ambito.
• Denial of service e test di volume o di carico.
• Ingegneria sociale rivolta al nostro personale, al supporto o ai clienti, incluse le frodi di phishing e telefoniche.
• Test fisici.

Regole di test

• Testa solo con account creati da te stesso sul piano Free, al massimo 3 account per ricercatore.
• Gli ambienti e gli utenti finali di altri clienti sono fuori ambito. L'unica eccezione è dimostrare l'accesso tra ambienti, che devi mostrare usando esclusivamente i tuoi account.
• Accedi al minimo di dati necessario per dimostrare il problema. Se raggiungi i dati di qualcun altro, interrompi immediatamente, segnalacelo, elimina ogni copia locale e confermaci per iscritto la cancellazione. Avvieremo poi il nostro processo di gestione degli incidenti e di notifica delle violazioni.
• Non degradare il servizio, non distruggere dati e non danneggiare l'esperienza di nessun utente.
• Non divulgare pubblicamente il problema prima della data di divulgazione coordinata indicata sotto.
• Non intraprendere atti di estorsione.

I clienti che vogliono testare il proprio ambiente seguono la nostra politica di penetration test per i clienti (https://trust.keenauth.com/customer-pentest-policy); le sue regole sono le stesse delle regole di test sopra.

I nostri impegni

Divulgazione coordinata. Per impostazione predefinita, puoi divulgare il problema 90 giorni dopo la segnalazione oppure quando la correzione e il nostro avviso sono pubblicati, a seconda di quale evento si verifichi per primo. Il termine può essere prorogato di al massimo 30 giorni con accordo reciproco. Gli avvisi sono pubblicati all'indirizzo https://trust.keenauth.com/advisories. Con il tuo consenso, ti citiamo all'indirizzo https://trust.keenauth.com/vdp/acknowledgments.

Safe harbor (porto sicuro)

Quando conduci ricerche sulle vulnerabilità in conformità con questa politica, consideriamo tale ricerca:

• autorizzata rispetto a qualsiasi legge applicabile contro la violazione informatica, e non avvieremo né sosterremo alcuna azione legale nei tuoi confronti per violazioni accidentali e in buona fede di questa politica;
• autorizzata rispetto a qualsiasi legge applicabile contro l'elusione delle misure tecniche, e non ti muoveremo alcuna contestazione per l'elusione dei controlli tecnologici;
• esentata dalle restrizioni dei nostri Termini di servizio e della nostra Politica sull'uso accettabile che interferirebbero con la ricerca sulla sicurezza, e rinunciamo a tali restrizioni in misura limitata; e
• lecita, utile alla sicurezza complessiva di Internet e condotta in buona fede.

Come sempre, ci si aspetta che tu rispetti tutte le leggi applicabili. Se una terza parte avvia un'azione legale nei tuoi confronti e tu hai rispettato questa politica, dichiareremo per iscritto che la tua ricerca era autorizzata ai sensi di questa politica.

Se in qualsiasi momento non sei sicuro che la tua ricerca sia conforme a questa politica, contatta [email protected] prima di procedere oltre.

Il safe harbor si applica solo alle pretese legali sotto il nostro controllo. Questa politica non vincola terze parti indipendenti, inclusi i nostri fornitori di infrastruttura e i nostri clienti.

Campagne di bug bounty

Non gestiamo un bug bounty permanentemente aperto. Gestiamo campagne di bounty periodiche: apriamo ciascuna campagna, annunciamo le date di inizio e fine, il perimetro e il budget, e i ricercatori vi si registrano in anticipo. Una campagna si apre e si chiude alla data e all'ora annunciate (UTC). Le segnalazioni fuori campagna, o provenienti da ricercatori non registrati, non ricevono alcun bounty, ma vengono gestite secondo questa politica con gli stessi impegni. Possiamo, a nostra discrezione, offrire un ringraziamento o una ricompensa di buona volontà.

I tuoi dati

Trattiamo il tuo nome, indirizzo email e nickname solo per coordinare la tua segnalazione e per citarti. Li conserviamo per 3 anni dopo la chiusura della segnalazione. I dati personali negli allegati alle segnalazioni vengono mascherati durante il triage, e gli allegati originali vengono eliminati dopo 30 giorni.

Chiave OpenPGP per [email protected] · Impronta digitale: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6