Lompat ke konten utama

Kebijakan Keamanan

Kontak: https://github.com/Cap-go/capgo.app/security/advisories/new
Tautan Utama: https://capgo.app/security/
Security.txt: https://capgo.app/.well-known/security.txt (/security.txt)

Di Capgo, keamanan sistem kami adalah prioritas utama. Namun, seberapa besar pun upaya yang kami berikan untuk keamanan sistem, kerentanan tetap bisa saja muncul.

Jika Anda menemukan kerentanan, kami ingin mengetahuinya agar kami dapat segera menanganinya. Kami mohon bantuan Anda untuk membantu kami melindungi klien dan sistem kami dengan lebih baik.

Kerentanan di luar cakupan:

  • Clickjacking pada halaman tanpa aksi sensitif.
  • CSRF pada unauthenticated/logout/login.
  • Serangan yang memerlukan MITM atau akses fisik ke perangkat pengguna.
  • Serangan yang memerlukan social engineering.
  • Aktivitas apa pun yang dapat menyebabkan gangguan layanan kami (DoS).
  • Masalah content spoofing dan text injection tanpa menunjukkan vektor serangan atau tanpa kemampuan memodifikasi HTML/CSS.
  • Pemalsuan email (Email spoofing)
  • Header DNSSEC, CAA, atau CSP yang hilang
  • Kurangnya flag Secure atau HTTP only pada cookie non-sensitif
  • Deadlinks
  • Enumerasi pengguna
  • Laporan SSRF atau DNS spoofing terhadap webhook atau preview website. Fitur-fitur ini berjalan di infrastruktur serverless dan tidak dapat digunakan untuk mengakses infrastruktur privat Capgo, sehingga tidak dapat dieksploitasi di lingkungan kami.
  • code aplikasi milik user atau konfigurasi proyek yang tidak dimiliki, dikirim, atau dikontrol oleh Capgo, termasuk file seperti capacitor.config.ts, config.capacitor.ts, source app code, dan pengaturan spesifik environment.
  • Akses ke file bundle Capgo atau bukti bahwa file bundle dapat di-download. File bundle adalah aset web publik, user telah diinformasikan mengenai hal ini, dan akses ke file tersebut tidak dianggap sebagai kebocoran data.
  • Endpoint plugin Capgo/API tanpa autentikasi yang memang sengaja dibuat publik — termasuk channel_self set dan endpoint update/stats yang tidak memerlukan API key — bukanlah kerentanan. Jangan melaporkannya sebagai kerentanan.
  • Kesalahan pelabelan enkripsi oleh Uploader atau UI untuk bundle yang disajikan via external_url bukan merupakan kerentanan Capgo (enkripsi bundle yang di-host secara eksternal berada di luar kontrol Capgo).

Batasan Supabase Auth yang Diketahui

Beberapa temuan dilaporkan berulang kali dan terkait dengan perilaku Supabase Auth. Temuan ini hanya dianggap sebagai masalah di sisi Supabase jika dapat direproduksi dalam proyek demo Supabase yang dikonfigurasi seperti milik kami dan jika perubahan konfigurasi Supabase dapat memperbaiki perilaku tersebut tanpa mengubah aturan keamanan Capgo. Jika perbaikan memerlukan perubahan pada SQL, RPC, kebijakan RLS, fungsi, atau logika aplikasi milik Capgo, maka itu adalah masalah Capgo dan harus dilaporkan kepada kami.

  • Laporan harus menyertakan proyek demo Supabase yang dapat direproduksi, lengkap dengan langkah-langkahnya, yang sesuai dengan pengaturan kami dan menunjukkan perilaku tersebut.
  • Laporan harus menyertakan jalur perbaikan yang tepat: baik perubahan pengaturan/konfigurasi Supabase yang menyelesaikan masalah, atau objek code/config milik Capgo yang harus diubah.
  • Alur akun/email divalidasi terhadap pengaturan proyek Supabase (misalnya, apakah verifikasi email dinonaktifkan dan alur capture digunakan).
  • Alur pembaruan kata sandi dan email/kata sandi dapat bergantung pada sesi Supabase Auth saat ini dan pengaturan verifikasi ulang.
  • Jika proyek demo membuktikan adanya perbaikan konkret di sisi Supabase tanpa perubahan kebijakan Capgo, atau menunjukkan cacat konkret milik Capgo, kami akan meninjaunya sebagai masalah yang dapat ditindaklanjuti.

Panduan pengujian:

  • Jangan menjalankan automated scanner pada proyek pelanggan lain. Menjalankan automated scanner dapat membengkakkan biaya bagi pengguna kami. Scanner dengan konfigurasi agresif bisa saja tanpa sengaja mengganggu layanan, mengeksploitasi kerentanan, menyebabkan ketidakstabilan sistem atau pembobolan, serta melanggar Terms of Service dari penyedia upstream kami. Sistem keamanan kami sendiri tidak akan bisa membedakan reconnaissance yang berniat jahat dari riset whitehat. Jika Anda ingin menjalankan automated scanner, beri tahu kami di security@capgo.app dan hanya jalankan pada proyek Capgo milik Anda sendiri. JANGAN menyerang proyek pelanggan lain.
  • Jangan memanfaatkan kerentanan atau masalah yang Anda temukan, misalnya dengan mengunduh lebih banyak data daripada yang diperlukan untuk membuktikan kerentanan tersebut, atau menghapus atau mengubah data milik orang lain.

Panduan pelaporan:

  • Kirimkan temuan Anda melalui GitHub Security Advisory:: https://github.com/Cap-go/capgo.app/security/advisories/new
  • Berikan informasi yang cukup untuk mereproduksi masalah agar kami dapat menyelesaikannya secepat mungkin.
  • Kami menerima dan meninjau laporan keamanan untuk plugin Capgo, namun bounty berbayar untuk plugin code terbatas pada @capgo/capacitor-updater.. Plugin Capgo lainnya gratis digunakan dan bukan bagian dari penawaran produk berbayar kami, jadi laporannya tetap ditinjau tetapi tidak dibayar.

Panduan pengungkapan:

  • Demi melindungi pelanggan kami, jangan ungkapkan masalah ini kepada pihak lain sampai kami selesai meneliti, menangani, dan menginformasikannya kepada pelanggan yang terdampak.
  • Jika Anda ingin membagikan riset tentang Capgo secara publik di konferensi, blog, atau forum publik lainnya, harap kirimkan draf kepada kami untuk ditinjau dan disetujui setidaknya 30 hari sebelum tanggal publikasi. Harap diperhatikan bahwa hal-hal berikut tidak boleh disertakan:
    • Data mengenai proyek pelanggan Capgo mana pun
    • Data pelanggan Capgo
    • Informasi mengenai karyawan, kontraktor, atau mitra Capgo

Komitmen kami:

  • Kami akan menanggapi laporan Anda dalam 7 hari kerja beserta evaluasi laporan dan estimasi tanggal penyelesaian.
  • Jika Anda telah mengikuti instruksi di atas, kami tidak akan mengambil tindakan hukum apa pun terhadap Anda terkait laporan tersebut.
  • Kami akan menangani laporan Anda dengan kerahasiaan ketat, dan tidak akan memberikan detail pribadi Anda kepada pihak ketiga tanpa izin Anda.
  • Kami akan terus mengabari Anda mengenai progres penyelesaian masalah tersebut.
  • Dalam informasi publik terkait masalah yang dilaporkan, kami akan mencantumkan nama Anda sebagai penemu masalah (kecuali jika Anda meminta sebaliknya).
  • Jika data yang bocor muncul dalam logs yang dibagikan kepada kami, kami akan menganggapnya sebagai informasi debugging untuk memperbaiki masalah, bukan sebagai alasan untuk tindakan balasan atau retribusi.

Kami berupaya menyelesaikan semua masalah secepat mungkin, dan kami ingin berperan aktif dalam publikasi akhir mengenai masalah tersebut setelah terselesaikan.