Công bố có trách nhiệm

Bạn phát hiện lỗ hổng? Hãy gửi báo cáo riêng kèm các bước tái hiện và mức độ ảnh hưởng. Không đính kèm thông tin đăng nhập hay dữ liệu của người khác.

Liên hệ

Báo cáo bảo mật: @veilnebula_bot
Tạm giữ thanh toán và thời gian hỗ trợ: Chính sách kiểm tra và hỗ trợ
Chính sách dạng máy đọc được: /.well-known/security.txt
Báo cáo nhạy cảm: Chúng tôi không công bố khóa PGP công khai. Hãy hỏi cách gửi thông tin nhạy cảm trước khi chia sẻ.

Phạm vi

Trong phạm vi: veilnebu.la
app.veilnebu.la
api.veilnebu.la
wallet.veilnebu.la
Bot Telegram @veilnebula_bot
Gửi webhook và xử lý chữ ký
Dẫn xuất ví, ký lệnh chi trả và chuỗi kiểm toán
Ngoài phạm vi: Vấn đề của nhà cung cấp bên thứ ba: hãy báo cho chính nhà cung cấp đó.
Tấn công phi kỹ thuật (social engineering)
Tấn công từ chối dịch vụ dựa trên lưu lượng và kiểm thử tải

Quy tắc kiểm thử

Chỉ kiểm thử trên tài khoản người bán của chính bạn.
Dừng lại sau bằng chứng đầu tiên. Không trích xuất dữ liệu.
Cho chúng tôi 90 ngày kể từ báo cáo đầu tiên trước khi công bố công khai.
Không chạy công cụ quét tự động vượt quá năm yêu cầu mỗi giây liên tục.

Phần thưởng

Tùy theo quyết định của chúng tôi, sẽ công bố sau đợt kiểm toán bên ngoài đầu tiên. Chúng tôi ghi nhận công cho mọi báo cáo hợp lệ.

Cách chúng tôi xây dựng

Ký image: Quy trình phát hành của chúng tôi ký digest của container image bằng Cosign.
Hồ sơ build: Quá trình build image có bật tạo SBOM và thông tin nguồn gốc (provenance).
Cấu hình container: Cấu hình Kubernetes tham chiếu chạy các container API dưới quyền không phải root, với hệ thống tệp gốc chỉ đọc.