이 페이지는 뭐예요?

카미봇은 1인이 시작해서 지금은 수천만 명이 쓰는 서비스로 자랐어요. 그만큼 저 혼자 못 보는 구멍이 있을 수 있고, 그걸 선의로 찾아 알려주시는 분들은 저에게 정말 고마운 분들이에요.

이 문서는 그런 분들이 마음 편하게, 그리고 안전하게 제보하실 수 있도록 만든 약속이에요. 보안 연구자분들이 흔히 기대하시는 취약점 신고 정책(VDP, Vulnerability Disclosure Policy)의 표준 항목을 담되, 카미봇답게 적어봤어요. 🙏

어디로 알려주면 돼요?

카미봇은 Discord에서 사는 서비스라, 제보도 Discord로 받는 게 제일 빠르고 확실해요. 다음 순서로 부탁드릴게요:

• 가장 좋은 방법 — 지원 서버에서 비공개 티켓을 열거나, 운영자 @카미에게 DM으로 알려주세요.
• 이메일이 편하시면 security@kamibot.app도 열어뒀어요. 다만 솔직히 말씀드리면 이메일은 확인이 늦을 수 있어서, 급한 건은 Discord가 확실해요.

⚠️ 제일 중요한 부탁: 취약점 내용은 공개 채널에 올리지 말아주세요. 다른 사람이 보고 악용할 수 있으니, 꼭 비공개(티켓/DM/이메일)로만 알려주세요.

제보하실 때 재현 방법, 영향 범위, 가능하면 스크린샷이나 짧은 PoC를 함께 주시면 훨씬 빠르게 확인할 수 있어요.

이건 테스트해도 괜찮아요

다음은 저희 소유라, 이 정책을 지키신다면 살펴보셔도 괜찮은 대상이에요:

• 카미봇 웹 서비스 — kamibot.app 및 그 하위 서비스 (*.kamibot.app, 예: 카미봇 클라우드 cloud.kamibot.app 같은 부가 서비스)
• 카미봇 REST API — kamibot.app/api/* 및 각 부가 서비스의 API 엔드포인트
• Discord 봇 "카미봇" 자체의 명령어·상호작용

단, 반드시 본인 소유의 계정·서버·데이터로만 테스트해주세요. 새 대상이 애매하면 미리 물어봐주셔도 좋아요.

이건 하지 말아주세요

선의라도 아래 행위는 다른 사용자나 서비스에 피해를 줄 수 있어서 허가 범위 밖이에요:

• 다른 사람의 데이터를 열람·수정·삭제·유출하기 (꼭 본인 것만요!)
• 서비스에 부하를 거는 테스트 — DDoS, 무차별 대입(brute-force), 대량 자동 스캐닝
• 소셜 엔지니어링 (운영자·스태프·다른 유저를 속이기), 피싱
• 물리적 침입, 서버 인프라에 대한 직접 공격
• 발견한 취약점을 수정 전에 공개하거나 제3자에게 넘기기
• Discord 자체 약관을 어기는 행위

그리고 이런 건 보통 "취약점"으로 접수하지 않아요(중요도가 낮거나 실질적 위험이 없어서): 자동 스캐너 결과만 복붙, 이미 공개된 라이브러리 CVE 목록 나열, SPF/DKIM 같은 이메일 설정 미비, PoC 없는 클릭재킹 리포트 정도요.

안심하고 알려주세요

이 정책을 성실히 지키면서 선의로 테스트하고 제보해주신 분께는, 저희가 법적 조치를 하거나 신고하지 않을게요. 접근이 우연히 정책 경계를 살짝 넘었더라도, 곧바로 멈추고 정직하게 알려주시면 그 선의를 존중해요.

다만 이 약속은 위 "이건 하지 말아주세요"를 지키신 경우에만 유효해요. 고의로 남의 데이터를 털거나 서비스를 망가뜨리는 건 보호 대상이 아니에요. 그리고 저희가 법적으로 제3자(예: Discord, 인프라 제공사)의 권리까지 면제해드릴 순 없다는 점은 양해 부탁드려요.

알려주시면 이렇게 대응해요

• 접수 확인 — 보통 며칠 안에 "받았어요!"라고 답드릴게요.
• 초기 판단 — 재현하고 심각도를 확인한 뒤, 어떻게 처리할지 알려드려요.
• 수정 — 심각도에 따라 우선순위를 정해 고쳐요. 심각한 건 최우선으로요.

1인이 운영하다 보니 대기업 수준의 빠른 응답 시한(SLA)은 어렵지만, 최선을 다해 성실히 소통할게요.

공개는 같이 상의해요

취약점은 수정이 끝난 뒤에 공개하는 걸 원칙으로 해요(책임 있는 공개, coordinated disclosure). 공개 시점·내용은 제보자분과 상의해서 정하고 싶어요. 보통 수정 완료 후, 또는 최초 제보로부터 90일 안에요. 혹시 이 안에 못 고치는 사정이 생기면 미리 말씀드리고 양해를 구할게요.

감사 인사

카미봇은 아직 금전 보상(버그 바운티)을 운영하진 않아요. 대신 의미 있는 제보를 해주신 분은 (원하시면) 명예의 전당에 성함이나 닉네임을 올려 공개적으로 감사드리고 싶어요. 원치 않으시면 조용히 감사만 전할게요.

명예의 전당 페이지는 지금 열심히 만들고 있어요. 완성되면 이 자리에 링크를 걸어둘게요. 나중에 여력이 되면 보상도 고민해볼게요. 💛

변경 이력

• 2026-07-20: 초안 작성

관련 문서도 함께 봐주세요 — 이용약관, 개인정보 처리방침.