# Политика безопасности

<div align="center">

**Translations:** [English](../../../SECURITY.md) · [Français](../fr/SECURITY.md) · [Deutsch](../de/SECURITY.md) · [简体中文](../zh-CN/SECURITY.md) · [日本語](../ja/SECURITY.md) · **Русский** · [עברית](../he/SECURITY.md) · [한국어](../ko/SECURITY.md) · [Español](../es/SECURITY.md) · [Português](../pt/SECURITY.md) · [Türkçe](../tr/SECURITY.md) · [Tiếng Việt](../vi/SECURITY.md) · [Italiano](../it/SECURITY.md)

</div>

## Сообщение об уязвимости

Мы серьёзно относимся к уязвимостям безопасности и ценим ваши усилия по ответственному раскрытию любых обнаруженных проблем.

### Как сообщить

**Пожалуйста, НЕ создавайте публичные GitHub issue для уязвимостей безопасности.**

Вместо этого сообщайте об уязвимостях безопасности по электронной почте: **abhishek@pipeshub.com**

### Что включить

Сообщая об уязвимости, пожалуйста, укажите:

- Описание уязвимости
- Шаги для воспроизведения проблемы
- Оценку потенциального воздействия
- Предлагаемое исправление (если есть)
- Ваши контактные данные для обратной связи

### Чего ожидать

- **Первичный ответ**: Мы подтвердим получение вашего сообщения в течение 48 часов
- **Оценка**: Мы предоставим первичную оценку в течение 5 рабочих дней
- **Обновления**: Мы будем отправлять обновления о ходе работ каждые 7 дней до устранения
- **Устранение**: Мы стремимся устранять критические уязвимости в течение 30 дней
- **Признание заслуг**: Мы отметим ваш вклад в наших уведомлениях о безопасности (если вы не предпочтёте остаться анонимным)

### График раскрытия

- **День 0**: Сообщено об уязвимости
- **День 1-2**: Первичное подтверждение
- **День 1-5**: Первичная сортировка и оценка воздействия
- **День 1-30**: Разработка и тестирование исправления
- **День 30+**: Публичное раскрытие после развёртывания исправления, как правило, в течение 90 дней с момента первоначального сообщения.

### Оценка уязвимостей

Мы классифицируем уязвимости по следующим критериям:

- **Критическая**: Непосредственная угроза данным пользователей или целостности системы
- **Высокая**: Значительное влияние на безопасность с широким охватом пользователей
- **Средняя**: Умеренное влияние на безопасность с ограниченным охватом
- **Низкая**: Незначительные проблемы безопасности с минимальным воздействием

### Лучшие практики безопасности

При участии в этом проекте:

- Поддерживайте зависимости в актуальном состоянии
- Следуйте практикам безопасного программирования
- Проверяйте все пользовательские вводимые данные
- Используйте надлежащую аутентификацию и авторизацию
- Реализуйте логирование событий безопасности
- Рекомендуется регулярное тестирование безопасности

### Область применения

Эта политика безопасности применяется к:

- Основному коду приложения
- Официальным образам Docker
- Документации, которая может повлиять на безопасность
- Зависимостям, которые мы поддерживаем напрямую

### Вне области применения

Следующее, как правило, не считается уязвимостями безопасности:

- Проблемы в сторонних зависимостях (сообщайте о них соответствующим сопровождающим)
- Атаки методами социальной инженерии
- Проблемы физической безопасности
- Отказ в обслуживании за счёт исчерпания ресурсов без усиления

### Безопасная гавань (Safe Harbor)

Мы поддерживаем безопасную гавань для исследователей безопасности, которые:

- Добросовестно стремятся избегать нарушений конфиденциальности и сбоев в работе сервиса
- Взаимодействуют только с принадлежащими им учётными записями или с явного разрешения
- Не получают доступ к данным других пользователей и не изменяют их
- Своевременно сообщают об уязвимостях
- Не раскрывают уязвимости публично до их устранения

### Контакты

По любым вопросам об этой политике безопасности обращайтесь: security@pipeshub.com

---

*Эта политика безопасности может быть изменена. Пожалуйста, регулярно проверяйте обновления.*
