보안

1. 테스트 범위

이 페이지의 규칙을 지키는 한 다음 대상을 테스트할 수 있습니다.

• kachy.app의 웹사이트와 웹 앱이 범위에 포함됩니다.
• api.kachy.app의 API가 범위에 포함됩니다. api.kachy.app/mcp의 MCP 서버와 AI 클라이언트가 연결할 때 거치는 로그인 절차도 포함됩니다.
• 에스크로 컨트랙트와 검증 컨트랙트도 범위에 포함됩니다. 지금은 테스트 네트워크의 아래 주소에서 동작하며, 새 버전을 배포하면 이 목록을 갱신합니다.
• Base Sepolia(체인 ID 84532)의 에스크로 컨트랙트는 0x16962E2F8a48a39901Dec635b12C7C4eF485582D이고 검증 컨트랙트는 0xf393AC5D41b8157c3Ac5b88FEc4c79765d6c66dd입니다.
• GIWA Sepolia(체인 ID 91342)의 에스크로 컨트랙트는 0xfE258b05b94995847b7Ebd4D3F4048595a448Dbe이고 검증 컨트랙트는 0x11f245116666C1263A2C0552e65126a9997829DA입니다.
• 이 컨트랙트들은 업그레이드할 수 있는 프록시이며, 그 뒤에 있는 구현 컨트랙트도 범위에 포함됩니다.

2. 범위 밖

다음 대상은 범위에 포함되지 않습니다. 이 대상의 문제는 각 운영 주체에 직접 제보해 주세요.

• 상품을 구매하는 마켓플레이스와 스토어, 그리고 kachy가 그곳에서 쓰는 계정은 범위에 포함되지 않습니다.
• 결제, 지갑, 호스팅, 이메일, 배송 추적 서비스처럼 kachy가 이용하는 외부 제공자는 범위에 포함되지 않습니다. 컨트랙트가 동작하는 블록체인도 마찬가지입니다.

3. 테스트 규칙

이 규칙은 구매자와 파트너를 보호하기 위한 것입니다. 모두 지켜 주세요.

• 실제 구매자의 주문, 계정, 자금을 대상으로 테스트하지 마세요.
• 요청, 제안, 주문을 만드는 테스트는 kachy가 제공하는 테스트 계정으로 해 주세요. 주문은 실제 구매로 이어질 수 있으니 시작하기 전에 security@kachy.app으로 테스트 계정을 요청해 주세요.
• 상품을 구매하는 마켓플레이스의 계정을 만들거나, 그 계정에 로그인하거나, 악용하지 마세요. 이런 행동을 kachy가 대신 하도록 만드는 시도도 하지 마세요.
• 다른 사람의 데이터에 접근하거나 바꾸거나 지우지 마세요. 자신의 것이 아닌 데이터에 닿았다면 그 자리에서 멈추고, 데이터를 첨부하는 대신 무엇을 봤는지 제보에 적어 주세요.
• 서비스 거부 공격, 부하 테스트, 많은 요청을 보내는 자동 스캔을 하지 마세요.
• 구매자, 파트너, kachy 직원을 대상으로 사회공학이나 피싱을 시도하지 마세요.
• 문제가 고쳐지거나 공개 일정을 함께 정하기 전까지는 세부 내용을 공개하지 마세요.

4. 선의의 연구 보호

이 정책을 지키며 선의로 연구했다면 그 연구를 허가된 것으로 봅니다. 그 연구를 이유로 법적 조치를 하지 않으며, 다른 누군가가 법적 조치를 하더라도 지원하지 않습니다.

이 보호는 범위 밖의 마켓플레이스와 외부 제공자에는 적용되지 않습니다. 소유하지 않은 시스템에 대한 테스트는 kachy가 허가할 수 없기 때문입니다.

계획한 행동이 허용되는지 확실하지 않다면 먼저 security@kachy.app으로 물어봐 주세요.

5. 제보하는 방법

security@kachy.app으로 한국어나 영어로 이메일을 보내 주세요. 제보에는 다음 내용을 포함해 주세요.

• 영향을 받는 URL, API 엔드포인트, MCP 도구 또는 컨트랙트 주소를 알려 주세요.
• 문제를 재현할 수 있도록 단계별 방법을 적어 주세요.
• 공격자가 이 문제로 무엇을 할 수 있는지 알고 있는 만큼 설명해 주세요.
• 테스트에 쓴 테스트 계정, 주문 번호, 트랜잭션 해시가 있다면 함께 보내 주세요.
• 공개적으로 감사 인사를 받고 싶다면 사용할 이름이나 핸들을 알려 주세요.

6. 제보 후 절차

제보를 받으면 영업일 기준 3일 안에 회신합니다. 그 뒤로 문제를 재현할 수 있었는지, 어떻게 대응할지, 수정이 언제 반영되는지 알려 드립니다.

구매자의 자금, 주문, 계정에 영향을 줄 수 있는 문제를 가장 먼저 처리합니다.

제보자의 이름은 본인이 원할 때만 공개적으로 밝힙니다.