1. Cara kami melindungi akunmu
- HTTPS di mana-mana. more.you, aplikasi, server MCP, dan halaman yang dipublikasikan dilayani lewat HTTPS. Domain sendiri mendapat sertifikat secara otomatis.
- Masuk dengan Google. Kamu masuk dengan akun Google, jadi More.You tidak pernah melihat password Google-mu. Password yang tersimpan dari pendaftaran sebelumnya hanya disimpan sebagai hash bcrypt.
- Sesi yang aman. Cookie masuk bersifat secure dan HTTP-only, sehingga skrip di halaman tidak bisa membacanya.
- Koneksi AI di tanganmu. AI Control menghubungkan asisten lewat OAuth. Kamu menyetujui setiap koneksi, dan kamu bisa menghapusnya.
- Tanpa rahasia di dalam kode. Key dan password disimpan di AWS Systems Manager Parameter Store.
- Perlindungan dari penyalahgunaan. Pembatasan jumlah permintaan (rate limit) untuk masuk dan daftar, serta pengecekan bahwa setiap permintaan yang mengubah data berasal dari situs kami sendiri.
- Pembayaran lewat Stripe. Data kartu langsung dikirim ke Stripe. Kami tidak pernah melihat atau menyimpan nomor kartu.
Kebijakan Privasi menjelaskan data apa yang kami simpan dan dengan siapa kami membagikannya.
2. Laporkan kerentanan
Kirim email ke security@more.you dan sertakan:
- deskripsi masalahnya dan apa yang bisa dilakukan penyerang dengannya;
- langkah untuk mereproduksinya, beserta kode proof-of-concept atau screenshot;
- lokasinya, misalnya more.you, app.more.you atau mcp.more.you;
- namamu atau username-mu, jika kamu ingin namamu dicantumkan.
Mohon jangan menaruh kerentanan di issue publik, ulasan, atau postingan media sosial.
3. Cakupan
Dalam cakupan
- more.you dan subdomain yang kami jalankan, termasuk app.more.you dan api-app.more.you.
- Halaman yang dipublikasikan di more.you/<name> dan di domain sendiri yang terhubung.
- Server MCP More.You di mcp.more.you/api dan login OAuth-nya.
Di luar cakupan
- Masalah di layanan yang kami pakai, seperti Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare, dan jejaring sosial. Laporkan ke perusahaan yang menjalankannya.
- Masalah di asisten AI yang terhubung ke server MCP kami, seperti ChatGPT, Claude, dan Gemini.
- Serangan yang membutuhkan akses fisik ke perangkat korban, rekayasa sosial terhadap staf kami, atau serangan denial of service lewat volume trafik.
- Masalah yang sudah bersifat publik.
- Laporan yang tidak bisa menunjukkan kerugian nyata.
4. Aturan pengujian
- Uji hanya pada akunmu sendiri dan halamanmu sendiri.
- Jangan membaca, mengubah, atau menghapus data orang lain. Jika kamu mengaksesnya tanpa sengaja, berhenti, lalu beri tahu kami apa yang kamu lihat.
- Jangan menjalankan pemindaian otomatis yang memperlambat Layanan bagi pengguna lain.
- Jangan mencoba mendapatkan pembayaran dari halaman yang bukan milikmu, dan jangan memakai kartu yang tidak boleh kamu pakai.
5. Perlindungan hukum (safe harbour)
Jika kamu beritikad baik berusaha mengikuti kebijakan ini selama riset, kami menganggap risetmu sah. Kami akan bekerja sama denganmu untuk memahami dan memperbaiki masalah dengan cepat, dan kami tidak akan memulai atau mendukung tindakan hukum terkait hal itu.
6. Pengungkapan terkoordinasi
Beri kami waktu yang wajar untuk menyelidiki dan memperbaiki masalah sebelum kamu mengumumkannya ke publik. Setelah diperbaiki, kami senang mencantumkan namamu di pemberitahuan publik mana pun.
7. security.txt
Kami menerbitkan /.well-known/security.txt sesuai RFC 9116, dengan alamat kontak yang sama dan link ke halaman ini.
8. Jaga keamanan akunmu
- Aktifkan verifikasi dua langkah untuk akun Google yang kamu pakai untuk masuk.
- Hapus asisten AI dan koneksi Stripe yang tidak lagi kamu pakai.
- Kami tidak pernah meminta passwordmu lewat email. Jika ada email yang memintanya, teruskan ke security@more.you.
