Sécurité

Cette page est la politique de sécurité canonique de Kisenon. C'est la cible annoncée par /.well-known/security.txt au titre du RFC 9116.

Signaler une vulnérabilité

Écrivez à security@kisenon.com avec :

• Une description claire du problème.
• Les étapes pour reproduire — commandes concrètes, charges utiles de requête ou une petite preuve de concept. Les impressions sont inexploitables.
• Le nom d'hôte affecté (kisenon.com, api.test.kisenon.com, un hôte d'endpoint, ou autre) ainsi que la date et l'heure d'observation du problème.
• Votre pseudonyme préféré pour tout crédit public, ou anonymous.

Veuillez ne pas déposer de problèmes de sécurité sur le tracker GitHub public. Le tracker est destiné aux bugs produit et aux demandes de fonctionnalités ; il est lisible par tous et inadapté aux vulnérabilités non corrigées.

Objectifs de réponse

Kisenon est en alpha et opéré par une petite équipe. Nous visons :

• Accusé de réception sous deux jours ouvrés.
• Triage et évaluation de gravité sous cinq jours ouvrés.
• Correction ou mitigation sur un calendrier proportionnel à la gravité. Les problèmes critiques priment sur le travail de fonctionnalités.

Nous vous tiendrons informé à mesure que nous avançons dans le triage et la remédiation. Une fois un correctif livré, nous coordonnerons la divulgation avec vous.

Périmètre

Dans le périmètre :

• L'apex kisenon.com et ses sous-domaines opérés par Kisenon (api.test.kisenon.com, cp.kisenon.com, les hôtes d'endpoint sous *.kisenon.com).
• L'API HTTP du plan de contrôle, la CLI keon et la console web.
• L'authentification et la gestion de session : la connexion NextAuth Google/GitHub, l'échange de JWT signé par cp, le flux OAuth en loopback de la CLI, et l'émission et la révocation de clés API (nsk_…).
• L'isolation : tout chemin qui franchit une frontière de projet ou d'organisation sans autorisation, fait fuir les métadonnées d'une autre organisation, ou s'échappe du périmètre réseau par endpoint.

Hors périmètre :

• Le déni de service par volume de trafic brut contre l'infrastructure partagée. Les constats de limitation de débit par rapport aux limites documentées sont bienvenus ; l'inondation n'est pas une vulnérabilité.
• Les rapports basés uniquement sur la sortie d'un scanner automatisé sans preuve de concept fonctionnelle.
• L'ingénierie sociale du personnel de Kisenon ou des testeurs alpha.
• Les problèmes dans les services tiers dont nous dépendons (OAuth GitHub, OAuth Google, MetalLB, k3s, Postgres lui-même) — veuillez les signaler en amont. Les mitigations côté Kisenon restent dans le périmètre.

Refuge sûr

Nous n'engagerons pas de poursuites judiciaires contre les chercheurs qui :

• Font un effort de bonne foi pour se conformer à cette politique.
• Évitent de dégrader la disponibilité du service pour d'autres organisations.
• N'exfiltrent pas de données au-delà du minimum nécessaire pour démontrer le problème. Arrêtez dès que l'accès est prouvé ; n'énumérez pas.
• Ne divulguent pas le problème publiquement avant qu'un correctif ne soit livré ou que 90 jours ne se soient écoulés depuis le signalement, selon la première échéance.

PGP

Les rapports chiffrés avec PGP sont acceptés mais non requis. Si vous avez besoin d'une clé publique, demandez-en une dans votre e-mail initial et nous répondrons avec l'empreinte de la clé courante par un canal séparé.

Liens connexes

• /.well-known/security.txt — pointeur de politique lisible par machine RFC 9116.
• Authentification — connexion, clés API, flux de la CLI.
• FAQ — Où signaler les problèmes de sécurité ? — court pointeur de retour vers cette page.