Divulgación responsable

¿Encontró una vulnerabilidad? Envíe un informe privado con los pasos para reproducirla y su impacto. No incluya credenciales ni datos de otras personas.

Contacto

Informes de seguridad: @veilnebula_bot
Retenciones de pagos y plazos de soporte: Política de revisión y soporte
Política en formato legible por máquina: /.well-known/security.txt
Informes sensibles: No publicamos ninguna clave PGP pública. Consulte cómo enviar detalles sensibles antes de compartirlos.

Alcance

Dentro del alcance: veilnebu.la
app.veilnebu.la
api.veilnebu.la
wallet.veilnebu.la
Bot de Telegram @veilnebula_bot
Entrega de webhooks y manejo de firmas
Derivación de billeteras, firma de pagos salientes y cadena de auditoría
Fuera del alcance: Problemas de proveedores externos: repórtelos al proveedor.
Ingeniería social
Denegación de servicio volumétrica y pruebas de carga

Reglas de las pruebas

Realice pruebas solo con su propia cuenta de comerciante.
Deténgase tras la primera prueba de concepto. No extraiga datos.
Concédanos 90 días desde el informe inicial antes de divulgarlo públicamente.
No ejecute escáneres automáticos a más de cinco solicitudes por segundo de forma sostenida.

Recompensas

Discrecionales; se anunciarán después de nuestra primera auditoría externa. Reconocemos cada informe válido.

Cómo construimos

Firma de imágenes: Nuestro flujo de publicación firma los digests de las imágenes de contenedor con Cosign.
Registros de compilación: Las compilaciones de imágenes generan SBOM y datos de procedencia.
Configuración de contenedores: La configuración de referencia de Kubernetes ejecuta los contenedores de la API sin privilegios de root y con sistemas de archivos raíz de solo lectura.