Segurança
Política de divulgação responsável, contato e escopo para a Kisenon.
Esta página é a política de segurança canônica da Kisenon. É o alvo anunciado por /.well-known/security.txt sob a RFC 9116.
Reportando uma vulnerabilidade
Envie um e-mail para security@kisenon.com com:
- Uma descrição clara do problema.
- Passos para reproduzir — comandos concretos, payloads de requisição, ou uma pequena prova de conceito. Impressões não são acionáveis.
- O hostname afetado (
kisenon.com,api.test.kisenon.com, um host de endpoint, ou outro) e a data e hora em que o problema foi observado. - O seu identificador preferido para qualquer crédito público, ou
anonymous.
Por favor, não abra issues de segurança no tracker público do GitHub. O tracker é para bugs de produto e solicitações de funcionalidades; ele é legível por todo o mundo e inadequado para vulnerabilidades não corrigidas.
Metas de resposta
A Kisenon está em alpha e é operada por uma equipe pequena. Buscamos:
- Reconhecimento dentro de dois dias úteis.
- Triagem e avaliação de severidade dentro de cinco dias úteis.
- Correção ou mitigação em um prazo proporcional à severidade. Problemas críticos têm precedência sobre trabalho de funcionalidades.
Vamos mantê-lo atualizado conforme avançamos pela triagem e remediação. Uma vez que uma correção tenha sido entregue, coordenaremos a divulgação com você.
Escopo
No escopo:
- O apex
kisenon.come seus subdomínios operados pela Kisenon (api.test.kisenon.com,cp.kisenon.com, hosts de endpoint sob*.kisenon.com). - A API HTTP do control plane, a CLI
keone o console web. - Autenticação e tratamento de sessão: sign-in Google/GitHub via NextAuth,
a troca de JWT assinada pelo cp, o fluxo OAuth de loopback da CLI, e emissão
e revogação de chave de API (
nsk_…). - Isolamento: qualquer caminho que cruze um limite de projeto ou organização sem autorização, vaze metadados de outra organização, ou escape do perímetro de rede por endpoint.
Fora do escopo:
- Negação de serviço via volume bruto de tráfego contra infraestrutura compartilhada. Achados de rate-limit contra limites documentados são bem-vindos; flooding não é uma vulnerabilidade.
- Relatórios baseados apenas em saída de scanner automatizado sem uma prova de conceito funcional.
- Engenharia social de equipe da Kisenon ou testadores do alpha.
- Problemas em serviços de terceiros dos quais dependemos (GitHub OAuth, Google OAuth, MetalLB, k3s, o próprio Postgres) — por favor reporte-os upstream. Mitigações do lado da Kisenon ainda estão no escopo.
Safe-harbour
Não tomaremos ação legal contra pesquisadores que:
- Façam um esforço de boa-fé para cumprir esta política.
- Evitem degradar a disponibilidade do serviço para outras organizações.
- Não exfiltrem dados além do mínimo necessário para demonstrar o problema. Pare assim que o acesso for comprovado; não enumere.
- Não divulguem o problema publicamente antes que uma correção tenha sido entregue ou 90 dias tenham decorrido desde o relatório, o que vier primeiro.
PGP
Relatórios criptografados com PGP são aceitos mas não obrigatórios. Se você precisa de uma chave pública, solicite uma no seu e-mail inicial e responderemos com o fingerprint da chave atual fora de banda.
Relacionado
/.well-known/security.txt— ponteiro de política legível por máquina da RFC 9116.- Autenticação — sign-in, chaves de API, fluxo da CLI.
- FAQ — Onde reporto problemas de segurança? — ponteiro curto de volta para esta página.