Не відкривай публічний issue для проблем безпеки.
Повідом приватно через Private vulnerability reporting на GitHub (вкладка Security → Report a vulnerability). Це створює приватний advisory, який бачиш лише ти і мейнтейнер.
У повідомленні вкажи:
- компонент (API, фронтенд, self-host bundle) і версію чи тег;
- опис і вплив;
- кроки відтворення або proof of concept;
- за можливості — пропозицію виправлення.
Підтвердження отримання — протягом кількох днів; далі тримаємо в курсі, поки триває розбір і виправлення. Просимо дати розумний час на виправлення до публічного розголосу.
Виправлення безпеки отримує лише остання випущена версія. Перед повідомленням про проблему в старішому тегу онови інсталяцію.
| Версія | Підтримка |
|---|---|
| остання випущена (1.0.x після релізу 1.0) | ✅ |
| старіші бети | ❌ |
У межах: бекенд ProjectK, фронтенд Лілейки і self-host Docker bundle з цього репозиторію. Поза межами: сторонні сервіси (Azure, Cloudflare, Telegram, Resend) і помилкова конфігурація власної інсталяції.
Двофакторний вхід (TOTP) з резервними кодами, обовʼязковий для проводу; довірений пристрій на
7 днів, привʼязаний до security stamp; refresh-сесії з відкликанням; рейт-ліміти входу й
відновлення на адресу та пауза входу після десяти неправильних паролів на одну пошту; гео-блок за заголовком CDN; аудит безпекових дій; перевірка доступу до кожного ресурсу
на сервері; Dependabot, CodeQL і secret scanning у CI. Подробиці — ARCHITECTURE.md.