Solo_bot/SECURITY.md

Security Policy

Поддерживаемые ветки

• Рассматриваются только main (последняя стабильная) и dev (текущая разработка).
• Другие ветки и теги не поддерживаются.

Как сообщить об уязвимости

• Не создавайте публичные Issues или Pull Requests.
• Сообщите напрямую владельцу: @solonet_sup.
• Также можно уведомить через сообщество в Telegram (доступно после вступления).
• Укажите: ветку (main/dev), версию/коммит, шаги воспроизведения, ожидаемое и фактическое поведение, возможное влияние, логи или скриншоты.

Процесс

1. Подтверждаем получение отчёта.
2. Анализируем и определяем критичность.
3. Исправления выпускаются в dev.
4. Если уязвимость критическая — фикс публикуется напрямую в main.
5. После релиза уведомляем сообщество и при необходимости публикуем рекомендации по обновлению.

Область действия

• Бот (aiogram), веб-админка (flask), внутренние модули/плагины и API проекта.
• Вне области: сторонние сервисы и библиотеки (платёжные провайдеры, Telegram, панели и т. п.). Для них обращайтесь к поставщику напрямую.

Ответственное раскрытие

• Просим не публиковать детали до выхода исправления.
• Тесты проводите только на своих данных и аккаунтах.
• Атаки на инфраструктуру или пользователей строго запрещены.

Лучшие практики при отчёте

• Минимальный PoC без риска для данных и доступности.
• Чёткие и воспроизводимые шаги.
• Возможные предложения по снижению риска до исправления.