Langsung ke konten utama

Kebijakan Keamanan

Kontak: https://github.com/Cap-go/capgo.app/security/advisories/new
Kanonis: https://capgo.app/security/
Security.txt: https://capgo.app/.well-known/security.txt (/security.txt)

Di Capgo, keamanan sistem kami adalah prioritas utama. Namun, sebesar apa pun upaya yang kami lakukan untuk keamanan sistem, kerentanan tetap bisa saja ada.

Jika Anda menemukan kerentanan, kami ingin mengetahuinya agar kami dapat segera menanganinya. Kami mohon bantuan Anda untuk melindungi klien dan sistem kami dengan lebih baik.

Kerentanan di luar cakupan:

  • Clickjacking pada halaman tanpa aksi sensitif.
  • CSRF pada unauthenticated/logout/login.
  • Serangan yang memerlukan MITM atau akses fisik ke perangkat pengguna.
  • Serangan yang memerlukan social engineering.
  • Aktivitas apa pun yang dapat menyebabkan gangguan layanan kami (DoS).
  • Masalah content spoofing dan text injection tanpa menunjukkan vektor serangan/tanpa bisa memodifikasi HTML/CSS.
  • Spoofing email
  • Header DNSSEC, CAA, CSP yang hilang
  • Kurangnya flag Secure atau HTTP-only pada cookie non-sensitif
  • Tautan mati
  • Enumerasi pengguna
  • Laporan SSRF atau DNS spoofing terhadap webhook atau preview website. Fitur-fitur ini berjalan di infrastruktur serverless dan tidak dapat digunakan untuk mengakses infrastruktur privat Capgo, sehingga tidak dapat dieksploitasi di lingkungan kami.
  • Aplikasi code atau konfigurasi proyek milik pengguna yang tidak dimiliki, tidak dirilis, atau tidak dikontrol oleh Capgo, termasuk file seperti capacitor.config.ts, config.capacitor.ts, source aplikasi code, dan pengaturan khusus environment.
  • Akses ke file bundle Capgo atau bukti bahwa file bundle dapat diunduh. File bundle adalah aset web publik, pengguna telah diinformasikan soal ini, dan akses ke file tersebut tidak dianggap sebagai kebocoran data.
  • Endpoint plugin Capgo/API tanpa autentikasi yang memang sengaja publik — termasuk set channel_self dan endpoint update/stats yang tidak memerlukan API key — bukanlah kerentanan. Jangan laporkan sebagai kerentanan.
  • Uploader atau UI yang salah melabeli enkripsi untuk bundle yang disajikan via external_url bukan merupakan kerentanan Capgo (enkripsi bundle yang dihosting secara eksternal berada di luar kendali Capgo).

Batasan Supabase Auth yang Diketahui

Beberapa temuan dilaporkan berulang kali dan berkaitan dengan perilaku Supabase Auth. Temuan ini hanya dianggap sebagai masalah di sisi Supabase jika dapat direproduksi dalam proyek demo Supabase yang dikonfigurasi seperti milik kami dan jika perubahan konfigurasi Supabase memperbaiki perilaku tersebut tanpa mengubah aturan keamanan Capgo. Jika perbaikan memerlukan perubahan pada SQL, RPC, kebijakan RLS, fungsi, atau logika aplikasi milik Capgo, itu adalah masalah Capgo dan harus dilaporkan kepada kami.

  • Laporan harus menyertakan proyek demo Supabase yang dapat direproduksi, beserta langkah-langkahnya, yang sesuai dengan pengaturan kami dan menunjukkan perilaku tersebut.
  • Laporan harus menyertakan jalur perbaikan yang tepat: baik perubahan pengaturan/konfigurasi Supabase yang mengatasi perilaku tersebut, atau objek code/config milik Capgo yang harus diubah.
  • Alur akun/email divalidasi terhadap pengaturan proyek Supabase (misalnya, apakah verifikasi email dinonaktifkan dan capture flow digunakan).
  • Alur pembaruan kata sandi dan email/kata sandi dapat bergantung pada sesi Supabase Auth saat ini dan pengaturan verifikasi ulang.
  • Jika proyek demo membuktikan adanya perbaikan konkret di sisi Supabase tanpa perubahan kebijakan Capgo, atau menunjukkan bug konkret milik Capgo, kami akan meninjaunya sebagai hal yang dapat ditindaklanjuti.

Panduan pengujian:

  • Jangan jalankan automated scanner pada proyek pelanggan lain. Menjalankan automated scanner bisa menambah biaya bagi pengguna kami. Scanner dengan konfigurasi agresif dapat tanpa sengaja mengganggu layanan, mengeksploitasi kerentanan, menyebabkan ketidakstabilan sistem atau kebocoran data, serta melanggar Terms of Service dari penyedia upstream kami. Sistem keamanan kami sendiri tidak akan bisa membedakan reconnaissance berniat jahat dari riset whitehat. Jika Anda ingin menjalankan automated scanner, beri tahu kami di security@capgo.app dan jalankan hanya pada proyek Capgo milik Anda sendiri. JANGAN menyerang proyek pelanggan lain.
  • Jangan memanfaatkan kerentanan atau masalah yang Anda temukan, misalnya dengan mengunduh lebih banyak data daripada yang diperlukan untuk menunjukkan kerentanan tersebut, atau menghapus atau mengubah data milik orang lain.

Panduan pelaporan:

  • Kirimkan temuan Anda melalui GitHub Security Advisory:: https://github.com/Cap-go/capgo.app/security/advisories/new
  • Berikan informasi yang cukup untuk mereproduksi masalah agar kami dapat menyelesaikannya secepat mungkin.
  • Kami menerima dan meninjau laporan keamanan untuk plugin Capgo, namun bounty berbayar untuk plugin code terbatas pada @capgo/capacitor-updater.. Plugin Capgo lainnya gratis digunakan dan bukan bagian dari penawaran produk berbayar kami, sehingga laporan untuk plugin tersebut tetap ditinjau tetapi tidak dibayar.

Panduan pengungkapan:

  • Demi melindungi pelanggan kami, jangan ungkapkan masalah ini kepada pihak lain sampai kami meneliti, menangani, dan menginformasikan masalah tersebut kepada pelanggan yang terdampak.
  • Jika Anda ingin membagikan riset tentang Capgo secara publik di konferensi, blog, atau forum publik lainnya, kirimkan draf kepada kami untuk ditinjau dan disetujui setidaknya 30 hari sebelum tanggal publikasi. Perlu diketahui bahwa hal-hal berikut tidak boleh disertakan:
    • Data tentang proyek pelanggan Capgo mana pun
    • Data pelanggan Capgo
    • Informasi tentang karyawan, kontraktor, atau mitra Capgo

Komitmen kami:

  • Kami akan menanggapi laporan Anda dalam 7 hari kerja dengan evaluasi laporan dan perkiraan tanggal penyelesaian.
  • Jika Anda mengikuti instruksi di atas, kami tidak akan mengambil tindakan hukum apa pun terhadap Anda terkait laporan tersebut.
  • Kami akan menangani laporan Anda dengan kerahasiaan yang ketat dan tidak akan meneruskan detail pribadi Anda ke pihak ketiga tanpa izin Anda.
  • Kami akan terus mengabari Anda soal progres penyelesaian masalah tersebut.
  • Dalam informasi publik terkait masalah yang dilaporkan, kami akan mencantumkan nama Anda sebagai penemunya (kecuali jika Anda menginginkan hal lain).
  • Jika data yang bocor muncul di logs yang dibagikan kepada kami, kami menganggapnya sebagai informasi debugging untuk memperbaiki masalah, bukan sebagai alasan untuk pembalasan atau tindakan balasan.

Kami berupaya menyelesaikan semua masalah secepat mungkin, dan kami ingin berperan aktif dalam publikasi final masalah tersebut setelah terselesaikan.