Adicionar canal de segurança público

[wellwelwel]

Fala meu povo! 🙋🏻‍♂️

Agora que o repositório se tornou público, reportei um vetor de ataque de forma privada para o @Lojhan e para o @khaosdoctor, mas seria bom ter um canal oficial para que qualquer pessoa possa reportar potenciais vulnerabilidades.

• Exemplo do Poku onde o canal interno do próprio GitHub é usado: https://github.com/wellwelwel/poku/blob/main/SECURITY.md
• Exemplo do MySQL2 onde o canal é o e-mail dos próprios mantenedores: https://github.com/sidorares/node-mysql2/blob/master/SECURITY.md

Exemplo visual de como aparece a seção Security para os contribuidores open source:

---

Sobre o vetor de ataque (reportei em mais detalhes, incluindo causa e efeito, de forma privada), ele ocorre no processo de tornar o repositório público. Como o código foi originalmente privado, existem duas formas práticas de resolver sem perder a essência da comunidade poder contribuir com o site (como estou fazendo agora):

• A) Subir o Worker (backend) via CD e não através de build com integração de branch (server).
  • Manteria tudo público e no mesmo repositório, configurando apenas o Worker via CloudFlare e ajustando o pipeline de deployment.
• B) Migrar apenas o Worker (backend) para um repositório privado.
  • Migrar apenas o backend para um repositório privado não afetaria em nada o GitHub Pages (frontend), que atualmente é vinculado à branch website.

---

Note

Vetor de ataque não é o mesmo que vulnerabilidade, mas como um projeto open source feito da comunidade para a comunidade e que guarda dados dos integrantes, é uma atenção que vale o esforço dos contribuidores e voluntários 🤝

cc @ErickWendel @ananeridev @khaosdoctor @Lojhan

[ErickWendel]

show demais!!

[ananeridev]

Legal! Vamos fazer sim, obrigada pela issue