Bu politikanın İngilizce metni bağlayıcıdır. Vulnerability disclosure policy

KeenAuth Güvenlik Açığı Bildirim Politikası

KeenAuth, KeenAuth'u satan ABD şirketi (Asindie, Inc.) tarafından sunulur; bu politikada "biz" ya da "bize" olarak anılır. Güvenlik araştırmacılarından ve kamudan gelen bildirimleri memnuniyetle karşılarız. KeenAuth'ta bir güvenlik açığı, gizlilik sorunu, açığa çıkmış veri ya da başka bir güvenlik sorunu olduğunu düşünüyorsanız sizden duymak isteriz. Bu politika, bildirimin nasıl yapılacağını, sizden neler beklediğimizi ve bizden neler bekleyebileceğinizi açıklar.

KeenAuth'un sistemleri, lisans veren kuruluşumuz AsindieTR, Ltd. tarafından işletilir; bu kuruluş da aşağıdaki Güvenli Liman taahhütleri dahil olmak üzere bu politikaya bağlıdır.

Bu bildirim kanalı her zaman açıktır. Herhangi bir bug bounty kampanyasına bağlı değildir.

Bildirim nasıl yapılır

• [email protected] adresine e-posta gönderin. Hassas ayrıntıları OpenPGP anahtarımızla şifreleyin: https://trust.keenauth.com/pgp-key.txt.
• security.txt dosyamız, işlettiğimiz her ana makinede https://<host>/.well-known/security.txt adresinde yayımlanır (RFC 9116).
• Bildirimleri İngilizce ve Türkçe okuruz.
• Lütfen şunları ekleyin: etkilenen ana makine, ürün ya da SDK sürümü; açıklama ve etki; adım adım yeniden üretim; bir kanıt kavramı (PoC); ve katkınızın anılmasını isterseniz adınız ya da kullanıcı adınız.
• Bildirimleri müşteri destek talepleri ya da topluluk forumu üzerinden göndermeyin.

Kapsam içindekiler

• İşlettiğimiz ana makineler: keenauth.com, dashboard.keenauth.com, api.keenauth.com, her api.<region>.keenauth.com, her dashboard-api.<region>.keenauth.com, docs.keenauth.com, trust.keenauth.com ve her ortam ana makinesi <slug>.<region>.keenauth.app.
• KeenAuth barındırılan giriş; bunun içinde ilk müşterilerimizin kullandığı barındırılan giriş sayfaları.
• KeenAuth SDK'ları, CLI ve MCP sunucusu. Bir SDK'daki güvensiz varsayılan kapsam içindedir.
• Bir müşterinin özel alan adında, KeenAuth platformunun kendisini etkileyen bulgular. Özel alan adları security.txt dosyamızı sunmaz; bu platform bulgularını [email protected] adresine bildirin.

Kapsam dışındakiler

• ops.keenauth.internal ve diğer dahili personel sistemleri.
• Altyapı sağlayıcılarımızın sistemleri. Bunları sağlayıcıya bildirin.
• Müşterilerimizin kendi uygulamaları ve kimlik sağlayıcıları ile bir müşterinin bir SDK'yı ya da kendi ortamını yanlış yapılandırması. Bunları müşteriye bildirin.
• Müşteri olarak KeenAuth'u kullanan ürünlerin uygulama yüzeyleri (örneğin nSupp, BrieflyUp, MindAI, PostHubify). Bu ürünlerin KeenAuth üzerindeki barındırılan girişi kapsam içindedir.
• Hizmet reddi (DoS) ve hacim ya da yük testleri.
• Personelimize, destek ekibimize ya da müşterilerimize yönelik sosyal mühendislik; oltalama ve telefon dolandırıcılığı dahil.
• Fiziksel test.

Test kuralları

• Yalnızca kendiniz oluşturduğunuz, Free planındaki hesaplarla test edin; araştırmacı başına en fazla 3 hesap.
• Diğer müşterilerin ortamları ve son kullanıcıları kapsam dışıdır. Tek istisna, ortamlar arası erişimi göstermektir; bunu yalnızca kendi hesaplarınızla göstermelisiniz.
• Sorunu göstermek için gereken en az veriye erişin. Başkasının verisine ulaşırsanız hemen durun, bize bildirin, yerel kopyaları silin ve silmeyi bize yazılı olarak teyit edin. Bunun ardından olay ve ihlal bildirim sürecimizi başlatırız.
• Hizmeti bozmayın, veriyi yok etmeyin ve kimsenin kullanıcı deneyimine zarar vermeyin.
• Aşağıdaki koordineli açıklama tarihinden önce sorunu kamuya açıklamayın.
• Şantaja girişmeyin.

Kendi ortamlarını test etmek isteyen müşteriler, müşteri sızma testi politikamızı izler (https://trust.keenauth.com/customer-pentest-policy); bu politikanın kuralları yukarıdaki test kurallarıyla aynıdır.

Taahhütlerimiz

Koordineli açıklama. Varsayılan olarak, bildiriminizden 90 gün sonra ya da düzeltme ve danışma yayımlandığında, hangisi önce olursa o zaman açıklama yapabilirsiniz. Süre, karşılıklı anlaşmayla en fazla 30 gün uzatılabilir. Danışmalar https://trust.keenauth.com/advisories adresinde yayımlanır. Onayınızla, katkınızı https://trust.keenauth.com/vdp/acknowledgments adresinde anarız.

Güvenli liman

Bu politikaya uygun güvenlik araştırması yürüttüğünüzde, bu araştırmayı şöyle kabul ederiz:

• Uygulanabilir bilgisayar korsanlığı karşıtı yasalar bakımından yetkilidir; bu politikaya aykırı, kasıtsız ve iyi niyetli ihlaller nedeniyle size karşı yasal işlem başlatmaz ya da desteklemeyiz;
• İlgili teknoloji koruma önlemlerini aşma karşıtı yasalar bakımından yetkilidir; teknoloji kontrollerini aşmanız nedeniyle size karşı bir talepte bulunmayız;
• Güvenlik araştırmasını engelleyebilecek Hizmet Koşullarımız ve Kabul Edilebilir Kullanım Politikamızdaki kısıtlamalardan muaftır ve bu kısıtlamalardan sınırlı ölçüde feragat ederiz; ve
• Yasaldır, İnternetin genel güvenliğine yardımcıdır ve iyi niyetle yürütülür.

Her zamanki gibi, geçerli tüm yasalara uymanız beklenir. Bir üçüncü taraf size karşı yasal işlem başlatır ve bu politikaya uymuşsanız, araştırmanızın bu politika kapsamında yetkili olduğunu yazılı olarak belirtiriz.

Araştırmanızın bu politikayla uyumlu olup olmadığından herhangi bir anda emin değilseniz, daha ileri gitmeden [email protected] adresiyle iletişime geçin.

Güvenli liman yalnızca kontrolümüz altındaki yasal taleplere uygulanır. Bu politika, altyapı sağlayıcılarımız ve müşterilerimiz dahil bağımsız üçüncü tarafları bağlamaz.

Hata ödül kampanyaları

Kalıcı olarak açık bir bug bounty programı yürütmüyoruz. Dönemsel ödül kampanyaları yürütüyoruz: her kampanyayı açar, başlangıç ve bitiş tarihlerini, kapsamını ve bütçesini duyurur, araştırmacıların önceden kayıt olmasını isteriz. Bir kampanya, duyurulan tarih ve saatte (UTC) açılır ve kapanır. Kampanya dışında yapılan ya da bu kampanyaya kayıtlı olmayan araştırmacıların bildirimleri ödül almaz; ancak aynı taahhütlerle bu politika kapsamında ele alınır. Kendi takdirimizle teşekkür ya da iyi niyet ödülü verebiliriz.

Verileriniz

Adınızı, e-posta adresinizi ve kullanıcı adınızı yalnızca bildiriminizi koordine etmek ve katkınızı anmak için işleriz. Bunları bildirim kapandıktan sonra 3 yıl saklarız. Bildirim eklerindeki kişisel veriler ön değerlendirme sırasında maskelenir; ham ekler 30 gün sonra silinir.

[email protected] için OpenPGP anahtarı · Parmak izi: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6