docs: política de segurança e código de conduta - #52
Merged
Conversation
O projeto ja publicou tres correcoes de seguranca (limite na rota de ingestao, 19 gaps de tenant_id e o fast-uri) e nao tinha canal privado para reporte - quem achasse algo abriria issue publica, expondo quem ja usa a plataforma antes de existir correcao. SECURITY.md define os canais (Security Advisories do GitHub em primeiro lugar), prazos que um mantenedor solo consegue cumprir, e o escopo. O escopo cita o isolamento multi-tenant e os tokens de ingestao por serem os pontos onde uma falha doeria mais aqui - e lista o que nao conta, para nao gastar o tempo de ninguem com saida crua de scanner. CODE_OF_CONDUCT.md e o Contributor Covenant 2.1, com o contato preenchido. Os dois ficam linkados nos READMEs (pt e en) e no CONTRIBUTING - o GitHub tambem os destaca sozinho na aba de seguranca e ao abrir issue.
Contributor
There was a problem hiding this comment.
Pull request overview
Adds standard community and security reporting documentation to the repository, providing a private vulnerability reporting channel and establishing expected community behavior.
Changes:
- Add a bilingual
SECURITY.mddescribing reporting channels, timelines, scope, and operator responsibilities. - Add
CODE_OF_CONDUCT.md(Contributor Covenant 2.1) with an enforcement contact. - Link both documents from
README(pt/en) andCONTRIBUTING.
Reviewed changes
Copilot reviewed 5 out of 5 changed files in this pull request and generated 1 comment.
Show a summary per file
| File | Description |
|---|---|
| SECURITY.md | Introduces a bilingual security policy with reporting process, scope, and expectations. |
| CODE_OF_CONDUCT.md | Adds Contributor Covenant 2.1 code of conduct with enforcement contact. |
| README.md | Links to SECURITY.md and CODE_OF_CONDUCT.md from the Portuguese README. |
| README.en.md | Links to SECURITY.md and CODE_OF_CONDUCT.md from the English README. |
| CONTRIBUTING.md | Adds references to the code of conduct and private security reporting channels. |
💡 Add Copilot custom instructions for smarter, more guided reviews. Learn how to get started.
Comment on lines
+104
to
+105
| Security fixes ship in their own release, listed under the **Segurança** section | ||
| of the [CHANGELOG](CHANGELOG.md), with the advisory identifier when there is one. |
Merged
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Por que
O projeto já publicou três correções de segurança — limite na rota pública
de ingestão (#30), 19 gaps de
tenant_id(#31) e ofast-uri(#35) — e nãotinha canal privado para reporte. Quem encontrasse algo abriria issue pública,
expondo quem já usa a plataforma antes de existir correção.
SECURITY.md
Bilíngue, como os READMEs. Define:
trabalhar a correção junto e vira o advisory publicado) → e-mail com
[SECURITY]no assuntoconfirmar recebimento, 7 para avaliação inicial, prioridade sobre outro
trabalho para severidade alta. Prometer 24h e não cumprir seria pior que não
prometer
os pontos onde uma falha doeria mais aqui, não uma lista genérica
.envmal configurado pelopróprio operador. Poupa o tempo de todo mundo
JWT_SECRETde exemplo, não expor oMongoDB, tratar token de ingestão como segredo
CODE_OF_CONDUCT.md
Contributor Covenant 2.1, com o contato preenchido. Sem invenção: é o texto
padrão que a maioria dos projetos usa e que contribuidores já reconhecem.
Ligação
Os dois ficam linkados nos READMEs (pt e en) e no CONTRIBUTING. O GitHub também
os destaca sozinho — na aba Security e no momento em que alguém vai abrir uma
issue.