跳转至正文

安全策略

联系方式： https://github.com/Cap-go/capgo.app/security/advisories/new
官方地址： https://capgo.app/security/
Security.txt: https://capgo.app/.well-known/security.txt (/security.txt)

在 Capgo，我们始终将系统安全视为重中之重。然而，无论我们在系统安全方面投入多少努力，仍可能存在潜在的漏洞。

如果您发现了任何漏洞，请务必告知我们，以便我们能尽快采取措施进行修复。我们诚挚邀请您协助我们更好地保护客户及我们的系统。

不在研究范围内的漏洞：

  • 不涉及敏感操作页面的 Clickjacking 攻击。
  • 未认证/登出/登录相关的 CSRF 攻击。
  • 需要 MITM 或物理接触用户设备的攻击。
  • 需要社会工程学手段的攻击。
  • 任何可能导致我们服务中断 (DoS) 的活动。
  • 未展示攻击向量或无法修改 HTML/CSS 的内容欺骗和文本注入问题。
  • 邮件欺骗
  • 缺少 DNSSEC、CAA、CSP 响应头
  • 非敏感 Cookie 缺少 Secure 或 HttpOnly 标志
  • 死链
  • 用户枚举
  • 针对 webhook 或网站预览的 SSRF 或 DNS 欺骗报告。这些功能运行在 serverless 基础设施上，无法用于访问私有 Capgo 基础设施，因此在我们环境中无法被利用。
  • 用户拥有的应用 code 或项目配置，且 Capgo 不拥有、发布或控制这些内容，包括 capacitor.config.ts、config.capacitor.ts、应用源码 code 以及特定环境设置。
  • 访问 Capgo bundle 文件，或证明 bundle 文件可被下载。bundle 文件是公开的 Web 资源，用户已被告知这一点，因此访问这些文件不被视为数据泄露。
  • 按设计有意公开的未认证 Capgo plugin/API 端点——包括无需 API 密钥的 channel_self 设置和 update/stats 端点——不属于漏洞。请勿将其作为漏洞报告。
  • 上传器或 UI 对通过 external_url 提供的 bundle 错误标注加密，这不属于 Capgo 漏洞（外部托管 bundle 的加密不在 Capgo 的控制范围内）。

Supabase Auth 已知限制

有些发现会被反复报告，并与 Supabase Auth 行为相关。只有当这些问题能在配置与我们相同的共享 Supabase 演示项目中复现，并且通过更改 Supabase 配置即可修复、无需更改 Capgo 安全规则时，才会被视为 Supabase 侧问题。如果修复需要更改由 Capgo 负责的 SQL、RPC、RLS 策略、函数或应用逻辑，那就是 Capgo 的问题，应报告给我们。

  • 报告必须包含一个可复现的 Supabase 演示项目，附带操作步骤，设置与我们的配置一致，并能演示该行为。
  • 报告必须包含确切的修复路径：要么是能解决该行为的 Supabase 设置/配置更改，要么是必须更改的、由 Capgo 负责的 code/config 对象。
  • 账号/邮箱流程会对照 Supabase 项目设置进行验证（例如是否禁用邮箱验证、是否使用 capture flow）。
  • 密码及邮箱/密码更新流程可能取决于当前的 Supabase Auth 会话和重新验证设置。
  • 如果演示项目能证明存在具体的 Supabase 侧修复方案且无需更改 Capgo 策略，或能展示出具体的、由 Capgo 负责的缺陷，我们会将其视为可处理问题并评审。

测试指南：

  • 请勿在其他客户的项目上运行自动化扫描器。运行自动化扫描器可能会增加我们用户的成本。配置过于激进的扫描器可能会无意中中断服务、利用漏洞、导致系统不稳定或数据泄露，并违反我们上游供应商的服务条款。我们的安全系统无法区分恶意侦察与白帽研究。如果您希望运行自动化扫描器，请通过 security@capgo.app 通知我们，并且仅在您自己的 Capgo 项目上运行。请勿攻击其他客户的项目。
  • 请勿利用您发现的漏洞或问题，例如为了证明漏洞而下载超出必要范围的数据，或删除、修改他人的数据。

报告指南：

  • 请通过我们的 GitHub 安全公告提交您的发现： https://github.com/Cap-go/capgo.app/security/advisories/new
  • 请提供足够的信息以复现问题，以便我们能够尽快解决。
  • 我们接受并审核 Capgo 插件的安全报告，但针对 code 插件的付费赏金仅限于 @capgo/capacitor-updater.。其他 Capgo 插件可以免费使用，不属于我们的付费产品范围，因此相关报告虽然会被审核，但不会提供报酬。

披露指南：

  • 为了保护我们的客户，在我们就问题进行研究、处理并通知受影响的客户之前，请勿向他人透露该问题。
  • 如果您想在会议、博客或其他任何公开场合分享关于 Capgo 的研究，请至少在发布日期前 30 天将草案发给我们审核和批准。请注意，以下内容不应包含在内：
    • 任何 Capgo 客户项目的相关数据
    • Capgo 客户的数据
    • Capgo 员工、承包商或合作伙伴的信息

我们的承诺：

  • 我们将在 7 个工作日内回复您的报告，附上我们的评估结果和预计解决日期。
  • 只要您遵循了上述说明，我们不会针对该报告对您采取任何法律行动。
  • 我们将对您的报告严格保密，未经您的许可，不会将您的个人信息透露给第三方。
  • 我们会随时向您通报问题解决的进展。
  • 在有关所报问题的公开信息中，除非您另有要求，否则我们将注明您是问题的发现者。
  • 如果分享给我们的 logs 中出现泄露的数据，我们只将其视为用于修复问题的调试信息，绝不会以此为由进行报复或追责。

我们致力于尽快解决所有问题，并希望在问题解决后的最终公开报告中发挥积极作用。