Divulgação responsável

Encontrou uma vulnerabilidade? Envie um relato privado com os passos para reproduzi-la e o impacto. Não inclua credenciais nem dados de outras pessoas.

Contato

Relatos de segurança: @veilnebula_bot
Retenções de pagamento e prazos de suporte: Política de análise e suporte
Política em formato legível por máquina: /.well-known/security.txt
Relatos sensíveis: Não publicamos nenhuma chave PGP pública. Pergunte como enviar detalhes sensíveis antes de compartilhá-los.

Escopo

Dentro do escopo: veilnebu.la
app.veilnebu.la
api.veilnebu.la
wallet.veilnebu.la
Bot do Telegram @veilnebula_bot
Entrega de webhooks e tratamento de assinaturas
Derivação de carteiras, assinatura de pagamentos de saída e cadeia de auditoria
Fora do escopo: Problemas de fornecedores terceiros: relate-os ao fornecedor.
Engenharia social
Negação de serviço volumétrica e testes de carga

Regras de teste

Teste apenas na sua própria conta de lojista.
Pare após a primeira prova de conceito. Não extraia dados.
Dê-nos 90 dias a partir do relato inicial antes da divulgação pública.
Não execute scanners automatizados acima de cinco requisições por segundo de forma contínua.

Recompensas

Discricionárias, anunciadas após nossa primeira auditoria externa. Damos crédito a todo relato válido.

Como construímos

Assinatura de imagens: Nosso fluxo de release assina os digests das imagens de contêiner com Cosign.
Registros de build: Os builds de imagens habilitam a geração de SBOM e de proveniência.
Configuração de contêineres: A configuração de referência do Kubernetes executa os contêineres da API sem root e com sistemas de arquivos raiz somente leitura.