Política de seguridad
La Política de seguridad explica cómo reportar una vulnerabilidad de seguridad en DragonMineZ y cómo la gestiona el equipo. El equipo de DragonMineZ valora el esfuerzo de la comunidad por divulgar vulnerabilidades de forma responsable, se toma en serio los problemas de seguridad y se compromete a resolverlos cuanto antes para proteger a sus usuarios.
Reportar una vulnerabilidad
- No la divulgues públicamente. Compartir los detalles de una vulnerabilidad antes de que se resuelva podría poner en riesgo a los usuarios.
- Envía un reporte desde la pestaña Report a Vulnerability de GitHub. También puedes contactar al equipo en Discord.
- Incluye estos datos en tu reporte:
- pasos para reproducir el problema;
- versiones afectadas;
- impacto potencial;
- cualquier corrección o mitigación que sugieras, si la tienes.
Qué esperar
- El equipo confirma la recepción de tu reporte en un plazo de 48 a 72 horas.
- El equipo investiga y te da un plan de acción en 10 días o menos.
- Se te mantiene al tanto durante todo el proceso y se te reconoce el hallazgo, a menos que prefieras quedar en el anonimato.
Correcciones y avisos
Después de verificar y corregir una vulnerabilidad de seguridad, el equipo:
- publica un parche para las versiones afectadas que aparecen en la tabla de versiones compatibles;
- publica un aviso de seguridad que resume el problema, su impacto y cómo se resolvió;
- notifica a las partes involucradas cuando sea necesario.
Versiones compatibles
Estas versiones reciben actualizaciones de seguridad de forma activa:
| Versión | Compatible |
|---|---|
| 2.x (última) | Sí |
| Versiones anteriores | No |
Proteger tu servidor
Algunos ajustes son importantes para mantener seguro un servidor de DragonMineZ:
- Credenciales de la base de datos: si usas el backend de almacenamiento
DATABASE, cambia los valores por defecto deusernameypassword(root/password) en la secciónstoragedegeneral-server.json, y dale a DragonMineZ su propio usuario de base de datos con acceso solo a su propia base de datos. Consulta Configuración del servidor. - Permisos: los comandos de DragonMineZ están protegidos por nodos de permisos. Da los nodos de nivel administrador (edición de estadísticas, recarga de configuración, gestión de misiones, etc.) solo al staff de confianza. Consulta Permisos.
- Copias de seguridad: respalda la carpeta del mundo (y tu base de datos, si usas una) antes de cambiar de backend de almacenamiento o de actualizar el mod. Consulta Aviso para dueños de servidores.
- Solo descargas oficiales: instala DragonMineZ únicamente desde sus páginas oficiales de Modrinth y CurseForge.
Para desarrolladores de addons
Nunca confíes en los valores que envía el cliente en tus propios paquetes de red. Valida en el servidor todo lo que cambie estadísticas, desbloqueos, misiones, deseos o progreso (consulta Implementación y eventos).
Gracias por ayudar a mantener seguro DragonMineZ.