Політика безпеки

Як повідомити про вразливість

Не відкривай публічний issue для проблем безпеки.

Повідом приватно через Private vulnerability reporting на GitHub (вкладка Security → Report a vulnerability). Це створює приватний advisory, який бачиш лише ти і мейнтейнер.

У повідомленні вкажи:

компонент (API, фронтенд, self-host bundle) і версію чи тег;
опис і вплив;
кроки відтворення або proof of concept;
за можливості — пропозицію виправлення.

Підтвердження отримання — протягом кількох днів; далі тримаємо в курсі, поки триває розбір і виправлення. Просимо дати розумний час на виправлення до публічного розголосу.

Які версії підтримуються

Виправлення безпеки отримує лише остання випущена версія. Перед повідомленням про проблему в старішому тегу онови інсталяцію.

Версія	Підтримка
остання випущена (1.0.x після релізу 1.0)	✅
старіші бети	❌

Що в межах

У межах: бекенд ProjectK, фронтенд Лілейки і self-host Docker bundle з цього репозиторію. Поза межами: сторонні сервіси (Azure, Cloudflare, Telegram, Resend) і помилкова конфігурація власної інсталяції.

Що вже зроблено

Двофакторний вхід (TOTP) з резервними кодами, обовʼязковий для проводу; довірений пристрій на 7 днів, привʼязаний до security stamp; refresh-сесії з відкликанням; рейт-ліміти входу й відновлення; гео-блок за заголовком CDN; аудит безпекових дій; перевірка доступу до кожного ресурсу на сервері; Dependabot, CodeQL і secret scanning у CI. Подробиці — ARCHITECTURE.md.