__CAPGO_KEEP_0__ | 安全政策
Capgo | 安全政策、查看我们的安全政策，了解我们如何保护您的数据并确保服务完整性。 - 实时管理您的 Capgo 应用程序更新，而无需存储...、Skip to main content、Capgo 首页、Capgo logo

安全政策

联系方式： https://github.com/Cap-go/capgo/security/advisories/new
规范： https://capgo.app/security.txt

在Capgo，我们认为系统安全是首要任务。然而，无论我们多么努力地关注系统安全，仍然可能存在安全漏洞。

如果您发现安全漏洞，我们希望您能及时告知我们，我们可以尽快采取措施来解决它。我们希望您能帮助我们更好地保护我们的客户和系统。

不在范围内的安全漏洞：

  • 点击劫持在无敏感操作的页面。
  • 未经认证/注销/登录 CSRF 攻击。
  • 需要中间人或物理访问用户设备的攻击。
  • 需要社会工程学的攻击。
  • 任何可能导致服务中断 (DoS) 的活动。
  • 内容伪造和文本注入问题，未显示攻击向量/无法修改 HTML/CSS。
  • 电子邮件伪造
  • 缺少 DNSSEC、CAA、CSP 头
  • 非敏感 cookie 缺少 Secure 或 HTTP only 标志
  • 死链
  • 用户枚举
  • SSRF 或 DNS 伪造报告，针对 webhook 或网站预览。这些功能在无服务器基础设施上运行，无法用于访问私有 Capgo 基础设施，因此它们在我们的环境中不可利用。
  • 用户拥有的应用程序 code 或项目配置， Capgo 不拥有、不运送或控制，包括文件如 capacitor.config.ts、config.capacitor.ts、应用程序源 code 和环境特定设置。
  • 访问 Capgo 打包文件或证明打包文件可以下载。打包文件是公共 web 资产，用户已知此信息，访问它们并不被视为数据泄露。

已知 Supabase 认证限制

Some findings are repeatedly reported and tied to Supabase Auth behavior. These are only treated as Supabase-side issues when they can be reproduced in a shared Supabase demo project configured like ours and when a Supabase configuration change fixes the behavior without changing Capgo security rules. If the fix requires changing Capgo-owned SQL, RPCs, RLS policies, functions, or app logic, that is a Capgo issue and should be reported to us.

  • 报告必须包含一个可复现的 Supabase 项目，包括步骤，匹配我们的设置并展示行为。
  • 报告必须包含准确的修复路径：要么是 Supabase 设置/配置更改，解决行为，要么是 Capgo 所有 code/config 对象必须更改。
  • 帐户/电子邮件流程将验证为 Supabase 项目设置（例如，是否禁用电子邮件验证并使用捕获流程）。
  • 密码和电子邮件/密码更新流程可能依赖于当前 Supabase Auth 会话和重新验证设置。
  • 如果演示项目证明了一个具体的 Supabase 端修复，没有 Capgo 政策更改，或者显示了一个具体的 Capgo 所有缺陷，我们将其作为可执行的内容进行审查。

测试指南：

  • 不要在其他客户项目上运行自动化扫描器。运行自动化扫描器可能会为我们的用户增加成本。配置过于激进的扫描器可能会意外中断服务，利用漏洞，导致系统不稳定或违反我们的上游提供商的服务条款。我们的安全系统无法区分恶意侦察和白帽研究。如果您想运行自动化扫描器，请通知我们 security@capgo.app，并只在您的 Capgo 项目上运行。不要攻击其他客户的项目。
  • 请勿利用您发现的漏洞或问题，例如下载比必要的更多的数据来演示漏洞或删除或修改其他人数据。

报告指南：

  • 通过我们的 GitHub 安全公告提交您的发现： https://github.com/Cap-go/capgo/security/advisories/new
  • 请提供足够的信息以便我们能够尽快解决问题。
  • 我们接受并审查 Capgo 插件的安全报告，但针对 code 插件的付费赏金仅限于 @capgo/capacitor-updater。其他 Capgo 插件是免费的，不属于我们的付费产品，因此报告它们将进行审查但不付费。

披露指南：

  • 为了保护我们的客户，请勿在我们研究、解决和通知受影响客户之前透露问题。
  • 如果您想在会议、博客或其他公开论坛上公开分享有关 Capgo 的研究，请至少在发布日期前 30 天与我们分享一份草稿进行审查和批准。请注意以下内容不应包含：
    • 有关 Capgo 客户项目的数据
    • Capgo 客户数据
    • 有关 Capgo 员工、承包商或合作伙伴的信息

我们承诺：

  • 我们将在7个工作日内对您的报告进行评估，并提供预计解决日期的回复。
  • 如果您遵循上述说明，我们将不会对报告采取法律行动。
  • 我们将以严格的保密方式处理您的报告，并不会将您的个人信息透露给第三方而不经您的许可。
  • 我们将为解决问题提供进展的信息。
  • 在有关问题的公共信息中，我们将将您的名字作为问题发现者的名字（除非您有其他要求）。
  • 如果泄露的数据出现在与我们共享的日志中，我们将其视为用于修复问题的调试信息，而不是报复或报复的理由。

我们致力于尽快解决所有问题，我们希望在问题解决后发挥积极作用于最终的出版物。