KeenAuth のセキュリティ

セキュリティ上の問題を見つけましたか？ぜひご連絡ください。

報告窓口は常に開いています。報告方法、研究者の皆さまへのお願い、当社の対応内容をご確認ください。

[email protected]機密性の高い詳細は、当社の OpenPGP 鍵で暗号化してください。

プログラムの概要

当社が約束する内容を一つの表にまとめました。各行は出典にリンクしています。

項目	ステータス	詳細
報告窓口	常時受付	[email protected] へメールしてください。この窓口はバグバウンティキャンペーンに依存しません。
脆弱性開示ポリシー	公開済み	対象範囲、テストのルール、対応時間、セーフハーバーを 8 言語で掲載。英語版が正式版です。
セーフハーバー	適用中	ポリシーへの意図しない善意の違反について、法的措置を開始せず、支援もしません。
バグバウンティ	定期キャンペーン	各キャンペーンは期間、対象範囲、予算とともに告知します。キャンペーン外の報告も同じ約束で扱います。
security.txt	署名済み	運用する各ホストに RFC 9116 の連絡先ファイルを置いています。trust.keenauth.com の版は OpenPGP で署名されています。
セキュリティ勧告	Atom フィード	修正済みの問題を、深刻度、CVSS 4.0 ベクトル、影響を受けるバージョンとともに掲載。

監査報告書または日付入りの証明書があるときにのみ、その枠組みを保有しているとして示します。それまでは各行で現状を示します。

報告します
[email protected] に、影響を受けるホストまたはバージョン、影響、再現手順を記載してお送りください。機密性の高い詳細は当社の OpenPGP 鍵で暗号化してください。
受領確認と評価を行います
2 営業日以内に報告を受領確認し、5 営業日以内に CVSS 4.0 スコア付きの評価結果をお送りします。
修正し、公開時期を調整します
少なくとも 14 日ごとにステータス更新をお送りし、深刻度に応じた目標期間内に修正し、公開時期はお客様と調整します。

脆弱性はどのように報告すればよいですか？

[email protected] にメールしてください。影響を受けるホストまたは製品・SDK のバージョン、影響、手順を追った再現方法、概念実証を含めてください。サポートチケットやコミュニティフォーラムは使わないでください。

私の調査は保護されますか？

ポリシーに従った調査は、許可されたものとみなします。ポリシーへの意図しない善意の違反について、あなたに対する法的措置は開始せず、支援もしません。

報奨金は支払われますか？

常時公開のバグバウンティは運営していません。期間、対象範囲、予算を告知する定期キャンペーンを行い、研究者は事前に登録します。キャンペーン外の報告も同じ約束で扱います。

対象外は何ですか？

サービス拒否と負荷テスト、ソーシャルエンジニアリング、物理的なテスト、インフラ提供者のシステム、お客様自身のアプリケーション。全一覧はポリシーに記載しています。

当社の security.txt が正規のものか、どう確認しますか？

当社の OpenPGP 鍵をダウンロードし、その指紋をこのページの指紋と照合し、gpg --verify でファイルの署名を検証してください。

どの言語で書けますか？

英語またはトルコ語です。

セキュリティ上の問題は [email protected] へメールでご報告ください。機密性の高い詳細は当社の OpenPGP 鍵で暗号化してください。

フィンガープリント0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6