本ポリシーは英語版が正本です。 Vulnerability disclosure policy
KeenAuth 脆弱性開示ポリシー
KeenAuth は KeenAuth を販売する米国企業（Asindie, Inc.）が提供しており、本ポリシーでは「当社」と呼びます。当社はセキュリティ研究者および一般の方からの報告を歓迎します。KeenAuth に脆弱性、プライバシーの問題、露出したデータ、その他のセキュリティ上の問題を見つけたと思われる場合は、ぜひお知らせください。本ポリシーでは、報告の方法、当社が報告者に期待すること、報告者が当社に期待できることを説明します。
KeenAuth のシステムは、当社のライセンサーである AsindieTR, Ltd. が運営しており、同社も下記のセーフハーバーの約束を含め、本ポリシーに拘束されます。
この報告窓口は常に開いています。 いかなるバグバウンティキャンペーンにも左右されません。
報告方法
- [email protected] までメールでご連絡ください。機密性の高い詳細は当社の OpenPGP キーで暗号化してください: https://trust.keenauth.com/pgp-key.txt.
- 当社の
security.txtは、当社が運営するすべてのホストのhttps://<host>/.well-known/security.txtで公開しています（RFC 9116）。 - 報告は英語とトルコ語で読みます。
- 次の情報を含めてください: 影響を受けるホスト、製品または SDK のバージョン、説明と影響、再現手順（段階的に）、概念実証（PoC）、そして謝辞への掲載を希望する場合は氏名またはハンドル名。
- カスタマーサポートのチケットやコミュニティフォーラムを通じて報告しないでください。
対象範囲
- 当社が運営するホスト:
keenauth.com、dashboard.keenauth.com、api.keenauth.com、各api.<region>.keenauth.com、各dashboard-api.<region>.keenauth.com、docs.keenauth.com、trust.keenauth.com、および各環境ホスト<slug>.<region>.keenauth.app。 - 当社の最初の顧客が利用するホスト型ログインページを含む、KeenAuth のホスト型ログイン。
- KeenAuth の SDK、CLI、MCP サーバー。SDK の安全でないデフォルト設定も対象範囲に含まれます。
- 顧客のカスタムドメインで発見された、KeenAuth プラットフォーム自体に影響する問題。カスタムドメインは当社の
security.txtを配信しないため、これらのプラットフォームの問題は [email protected] に報告してください。
対象範囲外
ops.keenauth.internalおよびその他の社内スタッフ向けシステム。- 当社のインフラストラクチャプロバイダのシステム。そのプロバイダに報告してください。
- 当社の顧客自身のアプリケーションおよび ID プロバイダ、ならびに顧客による SDK や自身の環境の設定ミス。顧客に報告してください。
- 顧客として KeenAuth を利用する製品（例: nSupp、BrieflyUp、MindAI、PostHubify）のアプリケーション画面。これらの製品のKeenAuth 上のホスト型ログインは対象範囲に含まれます。
- サービス拒否（DoS）、ならびにボリュームテストや負荷テスト。
- フィッシングや電話詐欺を含む、当社のスタッフ、サポート担当者、または顧客へのソーシャルエンジニアリング。
- 物理的なテスト。
テストのルール
- ご自身で作成した Free プランのアカウントのみでテストしてください。研究者ごとの上限は 3 アカウントです。
- 他の顧客の環境およびエンドユーザーは対象範囲外です。唯一の例外は、環境間のアクセスを実証する場合であり、その場合もご自身のアカウントのみを使用してください。
- 問題を実証するために必要な最小限のデータにのみアクセスしてください。他者のデータに到達した場合は、直ちに中止し、当社に報告し、ローカルのコピーをすべて削除して、削除を書面で当社に確認してください。その後、当社はインシデントおよび侵害通知のプロセスを開始します。
- サービスを低下させたり、データを破壊したり、誰のユーザー体験も損なったりしないでください。
- 下記の調整された開示日より前に、問題を公に開示しないでください。
- 恐喝行為を行わないでください。
ご自身の環境をテストしたい顧客は、当社の顧客ペネトレーションテストポリシー（https://trust.keenauth.com/customer-pentest-policy）に従ってください。そのルールは上記のテストルールと同じです。
当社の約束
| ステップ | 期限 |
|---|---|
| 報告の受領確認 | 2 営業日以内 |
| トリアージと CVSS 4.0 スコア | 5 営業日以内 |
| ステータスの更新 | クローズまで最低 14 日ごと |
| 修正 | 下表に従う |
| 深刻度 | 修正目標 |
|---|---|
| 実際に悪用されている、または CISA KEV に掲載されており、到達可能 | 24 時間以内に緩和、72 時間以内に修正 |
| 重大（Critical）で、インターネットに公開されたサービスから到達可能 | 72 時間以内 |
| その他の重大（Critical） | 7 日以内 |
| 高（High） | 30 日以内 |
| 中（Medium） | 90 日以内 |
| 低（Low） | 180 日以内 |
調整された開示。 既定では、報告から 90 日後、または修正と当社のアドバイザリが公開された時点のいずれか早い時点で、開示できます。この期間は相互の合意により、最大 30 日延長できます。アドバイザリはhttps://trust.keenauth.com/advisories で公開されます。ご同意いただければ、https://trust.keenauth.com/vdp/acknowledgments でお名前を掲載します。
セーフハーバー
本ポリシーに従って脆弱性調査を行う場合、当社はその調査を次のものとみなします:
- 適用されるハッキング防止の法律に関して認可されたものであり、本ポリシーへの偶発的かつ善意の違反について、当社は貴殿に対する法的措置を開始せず、支援もしません。
- 適用される回避防止の法律に関して認可されたものであり、技術的管理の回避を理由に貴殿に対して請求を行うことはありません。
- セキュリティ調査の実施を妨げるおそれのある、当社の利用規約および利用許容ポリシーの制限から免除されており、当社は限定的な範囲でそれらの制限を放棄します。
- 適法であり、インターネット全体のセキュリティに資するものであり、善意に基づいて行われるものです。
いつものとおり、貴殿には適用されるすべての法令を遵守していただく必要があります。第三者が貴殿に対して法的措置を開始し、貴殿が本ポリシーを遵守していた場合、当社は、貴殿の調査が本ポリシーに基づいて認可されていたことを書面で表明します。
本ポリシーに適合しているかどうか確信が持てない場合は、それ以上進める前に [email protected] までご連絡ください。
セーフハーバーは、当社の管理下にある法的請求にのみ適用されます。本ポリシーは、当社のインフラストラクチャプロバイダや顧客を含む、独立した第三者を拘束するものではありません。
バグバウンティキャンペーン
当社は常時開かれたバグバウンティを運営していません。当社は定期的なバウンティキャンペーンを運営しています。当社は各キャンペーンを開始し、開始日と終了日、対象範囲、予算を発表します。研究者は事前にキャンペーンへ登録します。キャンペーンは発表された日時（UTC）に開始し、終了します。キャンペーン期間外の報告、またはキャンペーンに登録していない研究者からの報告は、バウンティの対象にはなりませんが、同じ約束のもとで本ポリシーに従って処理されます。当社は裁量により、感謝の意や好意による報奨を提供することがあります。
お客様のデータ
当社は、貴殿の氏名、メールアドレス、ハンドル名を、報告の調整と謝辞のためにのみ処理します。報告が終了した後 3 年間保管します。報告の添付ファイルに含まれる個人データは、トリアージの際にマスキングされ、元の添付ファイルは 30 日後に削除されます。
[email protected] の OpenPGP 鍵 · フィンガープリント: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6