安全

本页是 Kisenon 的权威安全政策。它是 /.well-known/security.txt 在 RFC 9116 之下所宣传的目标。

报告一个漏洞

发邮件到 security@kisenon.com，附上：

• 对该问题的清晰描述。
• 复现步骤 —— 具体的命令、请求负载，或一个小的概念验证。 感觉是无法据以行动的。
• 受影响的主机名（kisenon.com、api.test.kisenon.com、一个端点 主机，或其他）以及观察到该问题的日期和时间。
• 您用于任何公开署名的偏好称呼，或 anonymous。

请不要在公开的 GitHub 追踪器上提交安全问题。该追踪器是给产品 bug 和功能请求用的；它是全世界可读的，不适合未修复的漏洞。

响应目标

Kisenon 处于 alpha 阶段，由一个小团队运营。我们的目标是：

• 确认在两个工作日内。
• 分诊和严重性评估在五个工作日内。
• 修复或缓解的时间线与严重性成正比。严重问题优先于功能工作。

我们会在分诊和修复过程中持续向您通报。一旦一个修复已发布， 我们会与您协调披露。

范围

在范围内：

• kisenon.com 顶点域名及其由 Kisenon 运营的子域名 （api.test.kisenon.com、cp.kisenon.com、*.kisenon.com 之下的 端点主机）。
• 控制平面 HTTP API、keon CLI，以及 web 控制台。
• 身份验证和会话处理：NextAuth Google/GitHub 登录、由 cp 签名的 JWT 兑换、CLI 回环 OAuth 流程，以及 API 密钥（nsk_…）的签发和撤销。
• 隔离：任何在未授权情况下跨越项目或组织边界、泄露另一个组织元数据， 或逃逸出按端点的网络边界的路径。

不在范围内：

• 通过对共享基础设施的原始流量体量进行的拒绝服务。针对已记录限制的 速率限制发现是受欢迎的；洪泛不是一个漏洞。
• 仅基于自动化扫描器输出、没有可运行概念验证的报告。
• 对 Kisenon 员工或 alpha 测试者的社会工程。
• 我们所依赖的第三方服务（GitHub OAuth、Google OAuth、MetalLB、k3s、 Postgres 本身）中的问题 —— 请向上游报告那些。Kisenon 侧的缓解 仍然在范围内。

安全港

我们不会对以下研究者采取法律行动，他们：

• 善意地努力遵守本政策。
• 避免降低其他组织的服务可用性。
• 不会泄露超出演示该问题所需最低限度的数据。一旦证明了访问就停止； 不要枚举。
• 不会在一个修复已发布之前，或自报告起 90 天之前（以较早者为准）， 公开披露该问题。

PGP

接受但不要求 PGP 加密的报告。如果您需要一个公钥，在您的初次邮件中 请求一个，我们会带外回复当前的密钥指纹。

相关

• /.well-known/security.txt —— RFC 9116 机器可读的政策指针。
• 身份验证 —— 登录、API 密钥、CLI 流程。
• FAQ —— 我在哪里报告安全问题？ —— 指回本页的简短指针。