Omarchy 的安全
回報漏洞
如果你覺得自己在 Omarchy 中發現了安全漏洞，請私下回報給 Omarchy 安全團隊，透過我們的 HackerOne 計畫，讓我們有機會在公開前調查並修復。經確認的漏洞可透過 HackerOne 獲得獎金。
hackerone.com/omarchy在問題解決前，請勿在 GitHub Issues、Discord 或社群媒體上公開回報可能的漏洞。
什麼是漏洞？
當 bug 可被利用來跨越有意義的安全邊界——不受信任或低權限的一方取得了原本沒有的存取、權限或控制——我們就視為安全漏洞。
程式碼可以更強健，但只要沒有跨越安全邊界，就是改進而非安全漏洞。我們仍可能合併你提的修法，並在版本說明中致謝。
能否登上我們的安全致謝頁面，取決於回報是否指出經確認的安全漏洞，而與嚴重程度無關。
應包含什麼
提供足夠資訊，讓我們理解並重現問題：
- 受影響的元件與 Omarchy 版本。
- 關於攻擊者在入侵前後能做什麼的說明。
- 重現問題的步驟與任何概念驗證。
- 你偏好的後續聯絡方式。
負責任的揭露
調查與回報漏洞時請秉持善意：
- 只測試你擁有或已獲明確授權測試的系統與帳號。
- 避免侵犯隱私、干擾他人、破壞資料與降低服務品質。
- 展示漏洞時，不要超出必要範圍去利用它。
- 公開細節前，請給我們合理的時間調查與處理。
我們會審查你的回報，並在處理過程中盡可能讓你知道進度。
致謝
私下回報經確認的安全漏洞、讓我們有機會先出修補的資安研究員，會在安全致謝頁面上被感謝。未跨越安全邊界但被接受的改進，也可能在版本說明中獲得致謝。
致謝會連結到每位回報者的 X 個人檔案並顯示大頭貼。若有重複回報，只有第一位回報者能獲得致謝。
一般 bug 與支援
任何非安全漏洞的事項，請使用Omarchy 問題追蹤器。
以電子郵件回報
如果你不想建立 HackerOne 帳號，也可以把回報寄到 security@omarchy.org。