Divulgation responsable.
La Bantu Blockchain Foundation prend la sécurité au sérieux. Si vous avez découvert une vulnérabilité dans notre protocole, notre infrastructure ou nos applications, veuillez la divulguer dans le cadre de cette politique — nous travaillerons avec vous pour la corriger.
Ce que nous couvrons.
- Le protocole Bantu (blockchain-core)
- EXPANSION API (expansion.bantu.network, expansion-testnet.bantu.network)
- Bantu Explorer (explorer.bantu.network)
- Bantu Dashboard (dashboard.bantu.network)
- Bantu Laboratory (laboratory.bantu.network)
- Tokenize.Bantu (tokenize.bantu.network)
- Applications mobiles BantuPay
- bantufoundation.org et ses sous-domaines
Nos engagements.
Accusé de réception initial. Nous faisons suivre avec une évaluation sous 7 jours.
Sur le calendrier de divulgation. Par défaut 90 jours entre le rapport et la divulgation publique ; plus long pour les problèmes graves au niveau du protocole nécessitant des mises à jour coordonnées.
Crédit public, anonyme ou pseudonyme. Nous respectons votre choix.
Les vulnérabilités matérielles du protocole sont éligibles à des récompenses payées en XBN. Hall of fame sur cette page pour toutes les divulgations valides.
Hors périmètre.
- Ingénierie sociale des sous-traitants de la Fondation ou des membres de la communauté
- Accès physique au matériel de la Fondation
- Attaques par déni de service ou attaques volumétriques sur les points d'accès publics
- Problèmes chez les fournisseurs RPC tiers, les portefeuilles ou les plateformes d'échange (veuillez les signaler directement à ceux-ci)
- Constats déjà divulgués dans nos issues GitHub publiques ou nos journaux de modifications
Comment signaler
- Envoyez un e-mail à security team avec une description claire du problème, les étapes de reproduction et (si possible) une remédiation suggérée.
- Chiffrement PGP disponible sur demande — indiquez-le dans votre premier e-mail et nous vous communiquerons notre clé publique.
- Veuillez ne pas ouvrir d'issues publiques pour les vulnérabilités au niveau du protocole ou de l'infrastructure. Coordonnez-vous par e-mail jusqu'à ce que nous nous accordions sur le calendrier de divulgation.
- Évitez de tester sur des données de production, d'accéder aux comptes d'autres utilisateurs ou de provoquer des interruptions de service pendant vos recherches.