Seguridad at Responsableng Pagsisiwalat

Seguridad at Responsableng Disclosure

Huling na-update: Mayo 9, 2026

Ang aming pangako sa seguridad

Pinangangasiwaan ng Keigo ang data ng user kabilang ang mga email, impormasyon sa pagbabayad (sa pamamagitan ng Stripe), mga na-upload na dokumento (visa, buwis, ID), at kasaysayan ng pakikipag-usap sa AI. Sineseryoso namin ang seguridad at malugod naming tinatanggap ang mga ulat mula sa mga researcher na tumutulong protektahan ang aming mga user.

Paano mag-ulat ng vulnerability

Kung sa palagay mo ay nakahanap ka ng isyu sa seguridad, mangyaring i-email kami nang pribado sa halip na ipahayag ito nang publiko. Layunin naming tumugon sa loob ng 48 oras, mag-triage sa loob ng 5 araw ng negosyo, at ayusin ito batay sa antas ng kalubhaan.

Available ang GPG key kung hihilingin. Mangyaring isama ang mga hakbang sa pag-reproduce, mga apektadong URL, at ang iyong handle kung gusto mong makakuha ng credit.

Nasa saklaw (mangyaring subukan)

Authentication flow, pangangasiwa ng session, account lockout, pag-reset ng password

Stripe checkout at webhooks, estado ng subscription, plan gating

Pag-upload/download ng dokumento sa S3, pangangasiwa ng presigned URL, ZIP export

Wala sa saklaw (huwag gawin)

DoS / DDoS / volumetric attacks (gumagamit kami ng rate limiting at inaasahan ito; ipinagbabawal ang sadyang pag-overload)

Social engineering laban sa mga empleyado, contractor, o end user

Pisikal na pag-atake sa imprastraktura o mga lokasyon ng opisina

Pagbabasa ng data mula sa mga account ng ibang user (gamitin ang sarili mong test account; kung hindi sinasadyang na-access mo ang data ng iba, mag-report agad at burahin ito)

Ang aming pangako sa iyo

Hindi kami maghahain ng legal na aksyon laban sa mga researcher na sumusunod sa patakarang ito nang may mabuting hangarin, na hindi kumukuha ng higit pang data kaysa sa kinakailangan para ipakita ang isyu, na nagbibigay sa amin ng makatwirang panahon para ayusin ito bago ang pampublikong pagsisiwalat (90 araw na standard), at na hindi ginagamit ang isyu para saktan ang Keigo o ang mga user nito.

Pagkilala at gantimpala

Isa kaming maliit na team na wala pang budget para sa pormal na bug bounty program. Ngunit nag-aalok kami ng:

— Pampublikong pagkilala sa pahinang ito (may pahintulot mo) para sa mga kumpirmadong natatanging kahinaan

— Libreng habambuhay na The Vault para sa iyong Keigo account

— Taos-pusong pasasalamat — ang iyong ginawa ay direktang tumutulong para mas maging ligtas ang dayuhang komunidad sa Japan.

Paano protektado ang iyong mga dokumento

Naka-encrypt habang nakaimbak (AES-256) sa mga server sa Tokyo

Naka-encrypt habang naglilipat sa HTTPS/TLS

Binubuksan sa pamamagitan ng pribado, may limitasyong oras na mga link — hindi kailanman pampubliko

Ang mga file ng bawat account ay nakahiwalay sa bawat iba pang account

Ang mga larawang sinusuri mo gamit ang Snap & Sort ay hindi itinatago pagkatapos ng pagsusuri