Sécurité
La sécurité fait partie de la façon dont Kanera est construit, exploité et documenté, en particulier pour les équipes choisissant entre un déploiement hébergé et auto-hébergé.
Efficace 20 août 2026 · Version 2
Hosted Kanera est conçu avec des contrôles en couches sur la sécurité des applications, l'infrastructure, la surveillance, la gestion des accès et l'examen opérationnel.
Kanera auto-hébergé donne à votre équipe le contrôle de l'environnement d'exécution. Ce contrôle signifie également que votre organisation est responsable du renforcement du déploiement, de l’application des correctifs, des sauvegardes, de l’exposition du réseau et de la surveillance.
Les contrôles ci-dessous décrivent la mise en œuvre actuelle de Kanera examinée le 20 août 2026. Ils ne constituent pas une déclaration selon laquelle Kanera détient une certification de sécurité ou une opinion d'audit indépendante. Nous mettons à jour cette section lorsque les contrôles ou l'architecture changent sensiblement.
Les propriétaires d'espace de travail contrôlent quels utilisateurs sont invités, quel accès ils reçoivent et quel contenu est placé dans Kanera.
Kanera ne doit pas être utilisé pour stocker des données hautement réglementées, sauf si votre organisation a examiné le déploiement, la configuration, les conditions contractuelles et les exigences légales pour cette utilisation.
Pour Kanera hébergé, nos engagements contractuels en matière de sécurité, de notification d'incident, de sous-traitant secondaire, d'assistance, d'audit et de suppression sont définis dans l'addendum sur le traitement des données. Nous informons sans délai les clients concernés d’une violation confirmée des données personnelles et fournissons les informations raisonnablement disponibles pour étayer leur réponse.
Envoyez par e-mail les vulnérabilités suspectées à [email protected] ; n’utilisez pas une question publique. Incluez le composant, la version, l'URL, le point de terminaison ou le mode de déploiement concerné ; des étapes de reproduction ou une preuve de concept minimale ; impact probable ; demandes, journaux ou captures d'écran pertinents avec les secrets supprimés ; et vos coordonnées préférées et si vous souhaitez un crédit public. Notre objectif est d’accuser réception d’un rapport dans un délai de 3 jours ouvrables et de fournir une première évaluation ou une demande de plus d’informations dans un délai de 10 jours ouvrables. Ce sont des objectifs, pas des garanties.
Sont concernés l'authentification et l'autorisation, l'isolation des locataires, l'accès au tableau privé, les secrets stockés et les fuites de jetons, les téléchargements et la gestion des fichiers, les API, OAuth, MCP, les webhooks, les fonctionnalités en temps réel, les limites de facturation et le déploiement auto-hébergé par défaut. L'ingénierie sociale, le spam, les résultats qui dépendent uniquement de paramètres de développement intentionnellement faibles et les tests de déni de service en production sans autorisation écrite sont hors de portée.
Nous ne publions pas actuellement de clé PGP et le courrier électronique ordinaire n'est pas un canal de reporting crypté de bout en bout. N’envoyez pas d’informations d’identification en direct ou de données personnelles. Demandez dans le premier e-mail si vous avez besoin de notre part pour organiser un échange plus sécurisé de preuves sensibles.
Si vous agissez de bonne foi, testez uniquement les comptes, les données et les systèmes que vous possédez ou avez l'autorisation explicite de tester, restez dans le champ d'application ci-dessus, évitez les violations de la vie privée et les interruptions de service, accédez uniquement aux données minimales nécessaires pour démontrer le problème, arrêtez et signalez si vous rencontrez les données d'une autre personne, ne conservez pas ou ne divulguez pas ces données et respectez la loi applicable, nous traiterons la recherche comme autorisée aux fins de notre politique et n'engagerons aucune action en justice contre vous pour la recherche elle-même. Il ne s’agit pas d’une autorisation de tester des systèmes ou des infrastructures tiers hors de notre contrôle, de recourir à l’ingénierie sociale ou à des attaques physiques, ni d’exiger un paiement.
Veuillez nous donner une opportunité raisonnable d'enquêter et de remédier à la situation avant toute divulgation publique. Nous travaillerons avec vous sur un calendrier de divulgation en fonction de la gravité, des utilisateurs concernés, de la disponibilité des correctifs et des besoins de déploiement, et nous visons à vous tenir informé des étapes importantes. Si vous pensez qu'une divulgation urgente est nécessaire, expliquez le risque à [email protected] afin que nous puissions nous coordonner.
Supprimez les données de test et les preuves confidentielles lorsqu’elles ne sont plus nécessaires. Si vous accédez involontairement à des données personnelles, des informations d'identification ou du contenu client, arrêtez les tests, ne les copiez pas et ne les partagez pas, et dites-nous à quoi vous avez accédé afin que nous puissions répondre de manière appropriée.
La version 2 entre en vigueur le 20 août 2026. Elle distingue l'examen de la mise en œuvre de la certification indépendante et relie l'incident contractuel et les engagements de sécurité dans le DPA. La version 1 est entrée en vigueur le 16 juillet 2026.