責任ある開示
脆弱性を見つけましたか？再現手順と影響を記載して、非公開で報告してください。認証情報や第三者のデータは含めないでください。
連絡先
- セキュリティ報告
- @veilnebula_bot
- 支払いの保留とサポート対応時間
- 審査・サポートポリシー
- 機械可読なポリシー
/.well-known/security.txt- 機密性の高い報告
- PGP 公開鍵は掲載していません。機密情報を共有する前に、送信方法をお問い合わせください。
対象範囲
- 対象
veilnebu.laapp.veilnebu.laapi.veilnebu.lawallet.veilnebu.la- Telegram ボット @veilnebula_bot
- Webhook の配信と署名の処理
- ウォレットの鍵導出、出金の署名、監査チェーン
- 対象外
- サードパーティベンダーの問題：各ベンダーに報告してください。
- ソーシャルエンジニアリング
- 大量トラフィックによるサービス妨害と負荷テスト
テストのルール
- テストはご自身の販売者アカウントに対してのみ行ってください。
- 最初の実証ができた時点で停止してください。データを持ち出さないでください。
- 公開する前に、最初の報告から 90 日間の猶予をください。
- 自動スキャナーは、持続的に毎秒 5 リクエストを超えて実行しないでください。
報奨金
当社の裁量によるもので、最初の外部監査の後に発表します。有効な報告にはすべて謝辞を記載します。
開発体制
- イメージ署名
- リリースワークフローで、コンテナイメージのダイジェストに Cosign で署名しています。
- ビルド記録
- イメージのビルドでは SBOM と来歴情報（provenance）の生成を有効にしています。
- コンテナ構成
- リファレンスの Kubernetes 構成では、API コンテナを非 root ユーザーで、読み取り専用のルートファイルシステムで実行します。