Beveiliging en verantwoordelijke openbaarmaking

1. Een kwetsbaarheid melden

E-mail [email protected] met een beknopte beschrijving, beïnvloed URL, stappen om te reproduceren, en de impact die u waargenomen. Voeg screenshots of logs alleen toe na het verwijderen van tokens, wachtwoorden, persoonlijke gegevens en niet-verbonden klantgegevens. Publiceer geen actieve exploit- of gevoelige rapportage-inhoud vóór een gecoördineerde herziening.

2. Blijf binnen veilige testgrenzen

Gebruik accounts en gegevens die u bezit of heb uitdrukkelijke toestemming om te testen. Stop als je iemand anders tegenkomt. Niet uitvoeren ontkenning-van-dienst aanvallen, social engineering, destructieve testen, of pogingen om betaling of authenticatie geheimen te verkrijgen. Deze pagina verleent geen toestemming om infrastructuur van derden te testen.

3. Toegangscontrole

Generatie vereist een geverifieerde klantsessie. Gebruikersgegevens worden gefilterd door de geverifieerde account-identiteit. Administratieve eindpunten vereisen een afzonderlijk geconfigureerde admin rol of geverifieerde allowlist; een e-mail die in een vorm of een client-side rol flag wordt getypt geeft geen toegang.

De dashboard previews bevatten geen klantgegevens en staan geen administratieve handelingen toe. Authentication-provider geheimen, fal.ai en Tripo referenties, en Stripe sleutels behoren in server-side configuratie en zijn nooit bedoeld om te verschijnen in openbare pagina's.

4. Verslagen behandelen

Rapporten worden beoordeeld op reproduceerbaarheid, ernst en getroffen systemen. De erkennings- en hersteltermijnen hangen af van het probleem en de operationele capaciteit; er wordt geen ongeconfigureerde service-level garantie of premie beloofd. We kunnen om verduidelijking vragen of coördineren met een provider.

Als u vermoedt dat uw eigen account is aangetast, neem dan contact op met [email protected] en gebruik de wachtwoord-reset of provider recovery opties indien beschikbaar. Stuur nooit uw wachtwoord per e-mail.