Een kwetsbaarheid melden #

Mail security@frem.sh. Versleutelde mail is welkom; de vingerafdruk van de PGP-sleutel staat op de pagina Vertrouwen.

We bevestigen meldingen binnen 48 werkuren (zie de safe-harbourbepaling hieronder voor de formele toezegging). Kritieke problemen in fremforge zelf worden zo nodig gepatcht voordat upstream Forgejo dat doet; bugs in upstream worden afgestemd met het beveiligingsteam van Forgejo volgens hun disclosurebeleid. De gepubliceerde patchtermijnen per ernst staan op de pagina Vertrouwen.

Kwetsbaarheden openbaar maken #

Meld kwetsbaarheden aan security@frem.sh.

Een machineleesbaar disclosurebeleid staat op frem.sh/.well-known/security.txt volgens RFC 9116, met scope, contact, voorkeurstalen en de termijn voor bevestiging.

Safe harbour: onderzoek te goeder trouw binnen de gepubliceerde scope valt onder safe harbour. fremverk onderneemt geen juridische stappen tegen onderzoekers die het disclosurebeleid volgen. We zeggen toe dat we meldingen van kwetsbaarheden binnen 48 werkuren bevestigen en dat we gecoördineerd openbaar maken volgens een tijdlijn waarover we samen afspraken maken.

De vingerafdruk van de PGP-sleutel voor security@frem.sh staat op frem.sh/trust#security-contact.

Scope #

frem.sh - Forgejo-UI, Git-protocol, API, pakketregister
www.frem.sh, docs.frem.sh, status.frem.sh
de productieomgeving van fremforge op T Cloud Public
E-mail en transactionele berichten die vanaf @frem.sh worden verstuurd

Buiten scope #

Integraties van derden die je zelf aan fremforge koppelt (meld die bij de leverancier)
Bevindingen die voor reproductie een vooraf geauthenticeerde, bevoorrechte gebruikerssessie vereisen die verder gaat dan de toegang die de gebruiker al heeft

Wat we publiceren #

Beveiligingsadviezen worden geplaatst op de pagina Vertrouwen en gemaild naar de beveiligingsmailinglijst. Post-mortems van elk incident dat gevolgen had voor klantdata of beschikbaarheid, publiceren we binnen 14 dagen.

Wijzigingslog #

Versie	Datum	Wijziging
1.0	2026-04-25	Eerste publicatie.
1.1	2026-10-04	Scope: de productieomgeving in de cloud wordt beschreven in plaats van bij haar interne projectnaam genoemd. Geen wijziging in de scope.