Sikkerhet

Gjelder fra: 2026-04-25 - Versjon: 1.1

Sist oppdatert: 2026-04-25

Rapporter en sårbarhet #

Send e-post til security@frem.sh. Kryptert e-post går fint; fingeravtrykket til PGP-nøkkelen vår finnes på siden Tillit.

Vi bekrefter mottatte rapporter innen 48 arbeidstimer (se avsnittet om safe harbour nedenfor for den formelle forpliktelsen). Kritiske problemer i fremforges egne deler rettes ved behov før Forgejo upstream; feil i Forgejo koordineres med Forgejos sikkerhetsteam etter deres retningslinjer for ansvarlig offentliggjøring. De publiserte forpliktelsene våre for utbedringstid per alvorlighetsgrad finnes på siden Tillit.

Ansvarlig offentliggjøring #

Rapporter sårbarheter til security@frem.sh.

En maskinlesbar policy for offentliggjøring publiseres på frem.sh/.well-known/security.txt i henhold til RFC 9116, med omfang, kontaktopplysninger, foretrukne språk og tid for bekreftelse.

Safe harbour: forskning i god tro innenfor det publiserte omfanget er dekket av safe harbour. fremverk går ikke rettslig til verks mot forskere som følger policyen. Vi forplikter oss til å bekrefte sårbarhetsrapporter innen 48 arbeidstimer og til koordinert offentliggjøring etter en tidsplan vi blir enige om.

Fingeravtrykket til PGP-nøkkelen for security@frem.sh publiseres på frem.sh/trust#security-contact.

Omfang #

• frem.sh - Forgejo-grensesnittet, Git-protokollen, API, pakkeregister
• www.frem.sh, docs.frem.sh, status.frem.sh
• fremforges produksjonsmiljø på T Cloud Public
• E-post og transaksjonell e-post som sendes fra @frem.sh

Utenfor omfanget #

• Tredjepartsintegrasjoner som du selv kobler til fremforge (rapporter til leverandøren)
• Funn som krever en allerede autentisert, privilegert brukersesjon for å gjenskapes, utover det brukeren allerede har tilgang til

Hva vi publiserer #

Sikkerhetsmeldinger publiseres på siden Tillit og sendes til sikkerhetsepostlisten. Etteranalyser av hendelser som har påvirket kundedata eller tilgjengelighet, publiseres innen 14 dager.

Endringslogg #