Verantwortungsvolle Offenlegung

Sie haben eine Schwachstelle gefunden? Senden Sie einen vertraulichen Bericht mit Schritten zur Reproduktion und den Auswirkungen. Fügen Sie keine Zugangsdaten und keine Daten anderer Personen bei.

Kontakt

Sicherheitsmeldungen: @veilnebula_bot
Zahlungssperren und Supportzeiten: Richtlinie für Prüfung und Support
Maschinenlesbare Richtlinie: /.well-known/security.txt
Vertrauliche Meldungen: Es ist kein öffentlicher PGP-Schlüssel veröffentlicht. Fragen Sie nach, wie Sie vertrauliche Details übermitteln können, bevor Sie sie teilen.

Umfang

Im Umfang: veilnebu.la
app.veilnebu.la
api.veilnebu.la
wallet.veilnebu.la
Telegram-Bot @veilnebula_bot
Webhook-Zustellung und Signaturprüfung
Wallet-Ableitung, Signieren von Auszahlungen und Audit-Kette
Nicht im Umfang: Probleme bei Drittanbietern: Melden Sie diese dem Anbieter.
Social Engineering
Volumetrische Denial-of-Service-Angriffe und Lasttests

Testregeln

Testen Sie nur mit Ihrem eigenen Händlerkonto.
Hören Sie nach dem ersten Nachweis auf. Exfiltrieren Sie keine Daten.
Geben Sie uns ab der ersten Meldung 90 Tage Zeit vor einer öffentlichen Offenlegung.
Betreiben Sie automatische Scanner nicht dauerhaft mit mehr als fünf Anfragen pro Sekunde.

Belohnungen

Nach eigenem Ermessen, bekanntgegeben nach unserem ersten externen Audit. Wir nennen die Urheber jeder gültigen Meldung.

Wie wir bauen

Image-Signierung: Unser Release-Workflow signiert die Digests der Container-Images mit Cosign.
Build-Nachweise: Bei Image-Builds werden SBOM- und Provenienzdaten erzeugt.
Container-Konfiguration: Die Kubernetes-Referenzkonfiguration führt API-Container ohne Root-Rechte und mit schreibgeschütztem Root-Dateisystem aus.