Divulgation responsable

Vous avez trouvé une vulnérabilité ? Envoyez un rapport privé avec les étapes de reproduction et son impact. N’incluez ni identifiants ni données de tiers.

Contact

Signalements de sécurité: @veilnebula_bot
Blocages de paiements et délais d’assistance: Politique de contrôle et d’assistance
Politique lisible par machine: /.well-known/security.txt
Signalements sensibles: Aucune clé PGP publique n’est publiée. Demandez comment transmettre des informations sensibles avant de les partager.

Périmètre

Inclus: veilnebu.la
app.veilnebu.la
api.veilnebu.la
wallet.veilnebu.la
Bot Telegram @veilnebula_bot
Livraison des webhooks et traitement des signatures
Dérivation des portefeuilles, signature des versements et chaîne d’audit
Exclus: Problèmes de fournisseurs tiers : signalez-les au fournisseur.
Ingénierie sociale
Déni de service volumétrique et tests de charge

Règles de test

Testez uniquement sur votre propre compte marchand.
Arrêtez-vous après la première preuve. N’exfiltrez pas de données.
Laissez-nous 90 jours à partir du signalement initial avant toute divulgation publique.
N’utilisez pas de scanners automatisés au-delà de cinq requêtes par seconde en continu.

Récompenses

Discrétionnaires, annoncées après notre premier audit externe. Nous créditons l’auteur de chaque signalement valide.

Comment nous construisons

Signature des images: Notre processus de release signe les empreintes (digests) des images de conteneur avec Cosign.
Traçabilité des builds: Les builds d’images génèrent un SBOM et des attestations de provenance.
Configuration des conteneurs: La configuration Kubernetes de référence exécute les conteneurs de l’API sans privilèges root, avec un système de fichiers racine en lecture seule.