我们的漏洞披露计划（以下简称“本计划”）旨在最大限度降低任何安全漏洞对我们的工具或用户造成的影响。漏洞须存在于最新公开版本中，方有资格纳入本计划。请注意，仅安全漏洞会被评分。
指导原则与范围限制
在提交报告之前，请仔细阅读以下信息，包括我们的漏洞披露计划、适用范围及其他指导原则。为鼓励漏洞研究，并避免善意的黑客测试与恶意攻击之间产生任何混淆，我们要求您：
- 遵守本披露计划以及其他任何相关协议。
- 不得造成任何损害，不得妨碍应用程序的正常运行，亦不得违反我们的《使用条款协议》。
- 不得故意访问超出证明漏洞所必需范围的 Keybe 非公开数据。
- 不得访问、修改、销毁、保存、传输、更改、转移、使用或查看属于您以外任何人的数据。如某一漏洞导致您无意中访问到数据，请立即停止测试，清除本地信息，并立即提交报告。
- ；避免侵犯他人隐私、干扰我们的系统、销毁数据和/或损害用户体验。
- 不得危害我们客户的隐私或安全，亦不得影响我们服务的运行。此类行为将被视为违法行为。
- 依照本披露计划，对所发现的任何漏洞的细节予以保密。未经协调而公开披露漏洞，可能导致您被取消参与本计划的资格。
- 遵守适用的法律法规。
- 仅通过指定的官方渠道与我们沟通漏洞信息。
- 凡依照本披露计划开展真实的漏洞研究，我们视该研究为依据《计算机欺诈和滥用法》（Computer Fraud and Abuse Act，CFAA）（和/或类似的州法律）所授权的行为；对于您在开展真实漏洞研究过程中出于善意且意外违反本披露计划的行为，我们不会对您提起或支持任何法律诉讼。
- 豁免适用《数字千年版权法》（Digital Millennium Copyright Act，DMCA）；对于您在依照本披露计划开展真实漏洞研究过程中规避技术控制措施的行为，我们不会对您提起诉讼。
- 豁免适用我们《使用条款协议》中可能妨碍开展真实漏洞安全研究的限制性规定；对于依照本披露计划开展的真实漏洞研究，我们在有限范围内放弃上述限制。
- 确保研究合法、有助于提升互联网整体安全，并以善意方式开展。
对于未对我们数据的完整性和安全性产生实际影响的发现，我们保留不采取任何行动的权利。任何违反本计划条件、《使用条款协议》、安全相关文件及 GDPR 以及现行法律的研究，均将被视为恶意且违法的行为。我们无义务就漏洞披露提供报酬、费用或奖励；是否提供，由我们自行决定。
如您在任何时候担心或不确定您的安全研究是否符合本披露计划，请在进一步行动之前，通过我们的官方通知渠道之一提交报告。
适用范围
目前，以下服务和应用程序属于适用范围：
应用程序及网络基础设施：
- https://keybe.ai/
- https://keybe.co/
- https://keybe.mx/
- https://keybe.us/
- https://keybe.lat/
- https://keybe.app
- https://app.keybe.ai
- https://kb.live
- https://kbe.ai
- keybe.ai 的任何三级子域名
- 任何对我们整体安全或基础设施状况产生重大影响的事项
不在适用范围内的事项
我们仅接受手动或半手动测试。所有通过自动化工具或脚本获得的发现均将被视为不在适用范围内。此外，任何未明确识别出安全影响的问题、缺少安全标头的问题或描述性错误信息，亦将被视为不在适用范围内。
以下事项同样被视为不在适用范围内：
- 旨在或可能降低、拒绝或负面影响服务或用户体验的攻击（例如拒绝服务、分布式拒绝服务、暴力破解、密码喷洒、垃圾信息等）。
- 旨在或能够销毁、损坏不属于您的数据或信息，或使其无法读取（或企图如此行事）的攻击。
- 旨在或能够验证被盗凭证、凭证重用、账户接管（ATO）、劫持或其他基于凭证的技术的攻击。
- 故意访问不属于您的数据或信息，且超出证明漏洞所需的最低可行访问限度。
- 针对我们的员工、办公场所、无线网络或财产实施物理攻击、社会工程攻击或电子攻击。
- 与 Keybe 产品或基础设施集成的第三方应用程序、服务或依赖项中存在的安全问题，且无可证明的漏洞概念验证（例如程序库、SAAS 服务）。
- 由报告人制造或引入的安全问题或漏洞（例如，为获取奖励而故意修改我们所信任的程序库以植入漏洞）。
- 针对未被明确列为已授权且属于适用范围内的任何系统所实施的攻击。
- 关于缺乏“最佳实践”或其他指导原则、但并不表明存在安全问题的报告。
- ；与电子邮件服务器、电子邮件协议、电子邮件安全（例如 SPF、DMARC、DKIM）或垃圾邮件相关的攻击。
- ；非敏感 Cookie 中缺少 Cookie 标志。
- 关于 SSL/TLS 加密不安全的报告（除非附有可运行的概念验证）。
- 关于如何查明某一客户能否通过 amoCRM 产品或服务进行身份验证的报告。
- ；关于代号与客户名称之间对应关系的报告。
- ；简单的端口或 IP 扫描报告。
- 缺少 HTTP 标头（例如缺少 HSTS）。
- 电子邮件安全最佳实践或控制措施（例如 SPF、DKIM、DMARC）。
- 无已证实漏洞的横幅信息、指纹信息或软件、基础设施识别信息。
- 点击劫持（clickjacking）或 autoXSS 报告。
- ；关于可公开解析或可被内部主机或基础设施访问的 DNS 记录的报告。
- 基于域名、域名抢注（typosquatting）、Punycode、比特翻转（bitflip）或其他技术的网络钓鱼。
- ；违反任何法律或违反任何协议的行为（或任何相关报告）。
报告
研究结果须有清晰、准确的文档支持，不得包含推测性信息。所有发现均应说明其相关性和影响。请提供漏洞的详细摘要，包括发现过程中的目的、步骤、所用工具及相关产物，以便我们复现该漏洞。
为确保您的发现得到正确传达，您必须仅使用经批准的渠道，即通过电子邮件将所发现的漏洞发送至 [email protected]。