11 lines
1.2 KiB
Markdown
11 lines
1.2 KiB
Markdown
# Security Policy
|
||
|
||
Сообщайте об уязвимостях приватно владельцу Forgejo, не создавая публичный issue и не прикладывая персональные/зарплатные данные.
|
||
|
||
## Baseline
|
||
|
||
Core SSO/JWT и RBAC в platform mode; fail-closed adapters; tenant scope + forced PostgreSQL RLS; least privilege permissions; audit trail; TLS; security headers; rate limits на будущих write endpoints; idempotency; validation; parameterized SQL; encrypted backups; S3 outside webroot; secrets только env/secret store.
|
||
|
||
PII и payroll относятся к особо чувствительным данным. До их появления должны быть утверждены classification, field-level permissions, masking, encryption/key rotation, audit access, retention/deletion и incident response. Логи не содержат токены, зарплатные значения или полные персональные payload.
|
||
|
||
Dependencies проверяются `npm audit` в CI; container и SBOM/image scan должны быть подключены к доступному registry scanner перед production release.
|