الأمان في vetkit

الإبلاغ عن ثغرة أمنية

راسل security@vetkit.dev مع وصف المشكلة، وخطوات إعادة إنتاجها، والرابط أو نقطة النهاية أو إصدار الحزمة المتأثر، والتأثير الذي تتوقعه. يساعد إرفاق كود لإثبات قابلية الاستغلال أو لقطات شاشة. يُرجى عدم فتح مشكلات عامة على GitHub للإبلاغ عن الثغرات الأمنية.

ملف security.txt متاح على /.well-known/security.txt.

النطاق

في النطاق:

• vetkit.dev، app.vetkit.dev وapi.vetkit.dev
• حزمة npm @vetkit/mcp
• تطبيق vetkit لـ GitHub، بما يشمل معالجة webhooks ومسار التدقيق

خارج النطاق:

• اختبارات حجب الخدمة أو اختبارات الحمل الكثيف، أو الرسائل المزعجة، أو الهندسة الاجتماعية التي تستهدف الموظفين أو المستخدمين
• الثغرات في الخدمات الخارجية التي نستخدمها؛ أبلغ مزوّد الخدمة بها مباشرةً
• غياب ترويسات أو إعدادات TLS موصى بها دون إثبات تأثير فعلي
• تقارير أدوات الفحص الآلي وحدها دون إثبات عملي قابل للتنفيذ

اختبر الحسابات والمؤسسات والمستودعات التي تملكها فقط. لا تصل إلى بيانات مستخدمين آخرين ولا تعدّلها أو تحتفظ بها. إذا صادفتها عرضًا، فتوقف وأبلغنا.

الحماية للباحثين الملتزمين

إذا تصرفت بحسن نية والتزمت بهذه السياسة، فلن نتخذ أو ندعم إجراءً قانونيًا ضدك بسبب بحثك، وسنعدّ نشاطك مصرحًا به. وإذا اتخذ طرف ثالث إجراءً ضدك بسبب بحث التزم بهذه السياسة، فسنوضح أنك تصرفت بتفويض منا.

التزاماتنا

• نؤكد استلام بلاغك خلال 3 أيام عمل.
• نبقيك على اطلاع أثناء التحقيق في المشكلة وإصلاحها.
• ننسّق معك الإفصاح العلني بعد إصدار الإصلاح.

كيف نحمي الكود الخاص بك

الحد الأدنى من صلاحيات GitHub

يطلب تطبيق vetkit لـ GitHub صلاحيات القراءة فقط للمحتوى والبيانات الوصفية وطلبات السحب، وقراءة عنوان بريدك الإلكتروني عند تسجيل الدخول. لا يستطيع دفع الكود أو تغيير الإعدادات أو الوصول إلى مستودعات لم تخترها. نُصدر لكل تدقيق رمز تثبيت يقتصر على المستودع المحدد وعلى قراءة المحتوى والبيانات الوصفية فقط. تنتهي صلاحيته خلال ساعة، ولا يُكتب على القرص أو في قاعدة البيانات. ولا نحتفظ برمز وصول مستخدم GitHub مطلقًا.

عدم تنفيذ الكود

لا يثبّت التدقيق التبعيات، ولا يشغّل سكربتات البناء أو الاختبارات. تُستخدم نسخ سطحية من المستودع مع تعطيل Git hooks وعدم إنشاء الروابط الرمزية. تقرأ أدوات التحليل الملفات من خلال فهرس ملفات خاضع للتحقق فقط. تُتجاهل ملفات إعداد أدوات الفحص داخل المستودع، حتى لا يستطيع إخفاء نتائجه. وتمنع حدود الحجم وعدد الملفات تحليل مستودعات تتجاوز الحدود المسموح بها.

مساحات عمل مؤقتة

يُشغّل كل تدقيق في مجلد مؤقت جديد يُحذف عند اكتماله أو فشله أو إلغائه. وتحذف مهمة تنظيف دورية ما يتبقى إذا تعطّلت عملية التدقيق. تُشغّل أدوات التحليل بمهل زمنية وحدود لحجم المخرجات، وبيئة تقتصر على متغيرات مسموح بها ولا تتضمن بيانات اعتمادنا.

تقليل البيانات المحتفظ بها

نحتفظ بالنتائج، ولا نحتفظ بالمستودعات. تُحجب قيم الأسرار قبل التخزين، وتُحفظ بصمة تجزئة أحادية الاتجاه فقط لتتبع النتيجة بين عمليات التدقيق. تُخزّن رموز الجلسات والقيم السرية لمفاتيح API كبصمات تجزئة. لمفاتيح API نطاقات صلاحيات وحدود لمعدل الطلبات، ويمكن تحديد انتهاء صلاحيتها وإبطالها فورًا.

النقل والتخزين

تستخدم جميع الاتصالات HTTPS. يندرج vetkit.dev ضمن قائمة HSTS المحمّلة مسبقًا بوصفه جزءًا من نطاق المستوى الأعلى .dev. تحمل ملفات تعريف ارتباط الجلسات السمات HttpOnly وSecure وSameSite=Lax، ويُتحقق من الطلبات التي تغيّر الحالة وفق قائمة بالأصول المسموح بها. يشفّر مزوّد قاعدة البيانات البيانات المخزّنة.

سلامة رسائل webhook

يُتحقق من توقيع HMAC لرسائل GitHub webhook قبل معالجتها، وتُتجاهل الرسائل المكررة.

راجع أيضًا سياسة الخصوصية لمعرفة البيانات التي نحتفظ بها ومدد الاحتفاظ.