负责任的漏洞披露
发现了漏洞？请私下提交报告，附上复现步骤及其影响。请勿包含凭据或他人的数据。
联系方式
- 安全报告
- @veilnebula_bot
- 付款冻结与支持时效
- 审核与支持政策
- 机器可读的政策
/.well-known/security.txt- 敏感报告
- 我们未公开 PGP 公钥。分享敏感细节前，请先询问发送方式。
范围
- 范围内
veilnebu.laapp.veilnebu.laapi.veilnebu.lawallet.veilnebu.la- Telegram 机器人 @veilnebula_bot
- webhook 投递与签名处理
- 钱包派生、出款签名和审计链
- 范围外
- 第三方供应商的问题：请向相应供应商报告。
- 社会工程
- 流量型拒绝服务和负载测试
测试规则
- 仅针对您自己的商户账户进行测试。
- 取得首个证明后即停止。不得窃取数据。
- 公开披露前，请自首次报告起给我们 90 天时间。
- 自动化扫描器的持续速率不得超过每秒五个请求。
奖励
酌情发放，将在我们完成首次外部审计后公布。我们会致谢每一份有效报告。
我们如何构建
- 镜像签名
- 我们的发布流程使用 Cosign 对容器镜像摘要进行签名。
- 构建记录
- 镜像构建会生成 SBOM 和来源证明（provenance）。
- 容器配置
- 参考 Kubernetes 配置以非 root 用户运行 API 容器，根文件系统为只读。