跳过主要内容

安全政策

联系方式: https://github.com/Cap-go/capgo.app/%E5%AE%89%E5%85%A8%E6%8F%8F%E5%91%8A/%E6%96%B0
Canonical: https://capgo.app/zh/security/
安全性文件： https://capgo.app/.well-known/安全信息 (/安全配置)

在Capgo，我们将系统安全作为首要任务。然而，无论我们如何努力确保系统安全，仍然可能存在安全漏洞。

context: Page/area: Security documentation or trust copy. Role: Long marketing or legal paragraph. Seen in: page security.astro. Message key `security_intro` (Security Intro).

如果您发现安全漏洞，我们希望您能及时告知我们，我们可以尽快采取措施解决它。我们希望您能帮助我们更好地保护我们的客户和系统。

  • 点击劫持无敏感操作的页面。
  • 安全漏洞范围外:
  • 中间人攻击或物理访问用户设备的攻击。
  • 点击劫持页面无敏感操作。
  • 可能导致我们的服务中断（DoS）的任何活动。
  • 内容伪造和文本注入问题,不显示攻击向量/无法修改HTML/CSS。
  • 电子邮件伪造
  • 缺少DNSSEC、CAA、CSP头
  • 非敏感cookie缺少Secure或HTTP only标志
  • 死链
  • 用户枚举
  • SSRF或DNS伪造报告,针对webhooks或网站预览。这些功能在无服务器基础设施上运行,无法用于访问私有Capgo基础设施,因此在我们的环境中不可利用。
  • 用户拥有的应用程序code或项目配置,而Capgo不拥有、不运送或控制,包括文件如capacitor.config.ts、config.capacitor.ts、应用程序源code和环境特定设置。
  • 访问Capgo捆绑文件或证明捆绑文件可以下载。捆绑文件是公共网络资产,用户已知此信息,访问它们并不被视为数据泄露。
  • 未经认证Capgo插件/API端点,这些端点是故意公开的,包括channel_self设置和更新/统计端点,这些端点不需要API密钥,不被视为漏洞。不要将它们报告为漏洞。
  • 上传器或UI错误标记bundle通过external_url服务的加密不是Capgo漏洞(外部托管bundle的加密在Capgo的控制之外)。

已知Supabase Auth限制

某些发现反复报告并与 Supabase Auth 行为相关。这些只有在它们可以在配置如我们的共享 Supabase 演示项目中重现时才会被视为 Supabase 端问题，并且当 Supabase 配置更改修复行为而不改变 Capgo 安全规则时才会被处理。如果修复需要更改 Capgo 所有者 SQL、RPC、RLS 策略、函数或应用逻辑，则这是一个 Capgo 问题，应报告给我们。

  • 报告必须包含一个可重现的演示 Supabase 项目，包括步骤，匹配我们的设置并演示行为。
  • 报告必须包含精确的修复路径：要么是 Supabase 设置/配置更改，修复行为，要么是 Capgo 所有者 code/配置对象，必须更改。
  • 账户/电子邮件流程将验证为 Supabase 项目设置（例如，是否禁用电子邮件验证并使用捕获流程）。
  • 密码和电子邮件/密码更新流程可能依赖于当前 Supabase Auth 会话和重新验证设置。
  • 如果演示项目证明了一个具体的 Supabase 端修复而不需要 Capgo 政策更改，或者显示了一个具体的 Capgo 所有者缺陷，我们将其作为可执行的内容进行审查。

测试指南：

  • 请勿在其他客户项目上运行自动扫描器。运行自动扫描器可能会为我们的用户增加成本。配置过于激进的扫描器可能会意外中断服务、利用漏洞、导致系统不稳定或安全漏洞，并违反我们的上游供应商服务条款。我们的安全系统无法区分恶意探测和白帽研究。如果您想运行自动扫描器，请通知我们 security@capgo.app，并只在您的 Capgo 项目上运行。请勿攻击其他客户的项目。
  • 请勿利用您发现的漏洞或问题，例如下载比必要更多的数据来演示漏洞或删除或修改其他人的数据。

报告指南：

  • 通过我们的 GitHub 安全建议提交您的发现： https://github.com/Cap-go/capgo.app/%E5%AE%89%E5%85%A8%E6%8A%A5%E9%81%B9/%E6%96%B0
  • 请提供足够的信息来复现问题，我们将尽快解决。
  • 我们接受并审查 Capgo 插件的安全报告，但针对 code 插件的付费赏金仅限于 @capgo/capacitor-updater。其他 Capgo 插件是免费的，不属于我们的付费产品，因此报告它们是免费的。

披露指南：

  • 为了保护我们的客户，请勿在我们研究、解决和通知受影响客户之前透露问题给其他人。
  • 如果您想在会议、博客或其他公开论坛上公开有关Capgo的研究，请至少在发布日期前30天向我们发送一份草稿进行审查和批准。请注意，以下内容不应包含：
    • Capgo客户项目的任何数据
    • Capgo客户的数据
    • 关于Capgo员工、承包商或合作伙伴的信息

我们将在7个工作日内对您的报告做出评估，并提供预计解决日期。

  • 如果您遵循上述说明，我们将不会对报告采取法律行动。
  • 我们将严格保密处理您的报告，并不会将您的个人信息传递给第三方而不经您的许可。
  • 我们将向您通报解决问题的进展。
  • 在公开信息中，我们将将您的名字作为问题发现者的名字（除非您有其他要求）。
  • 如果泄露的数据出现在我们共享的日志中，我们将其视为用于修复问题的调试信息，而不是报复或报复的理由。
  • 我们致力于尽快解决所有问题，并希望在问题解决后在最终发布中发挥积极作用。

targetLanguage