Política de segurança
A Política de segurança explica como relatar uma vulnerabilidade de segurança no DragonMineZ e como a equipe lida com ela. A equipe do DragonMineZ valoriza o esforço da comunidade em divulgar vulnerabilidades de forma responsável, leva a sério os problemas de segurança e se compromete a resolvê-los rapidamente para proteger seus usuários.
Relatar uma vulnerabilidade
- Não divulgue publicamente. Compartilhar os detalhes de uma vulnerabilidade antes que ela seja resolvida pode colocar os usuários em risco.
- Envie um relatório pela aba Report a Vulnerability do GitHub. Você também pode contatar a equipe no Discord.
- Inclua estes detalhes no seu relatório:
- passos para reproduzir o problema;
- versões afetadas;
- impacto potencial;
- qualquer correção ou mitigação sugerida, se houver.
O que esperar
- A equipe confirma o recebimento do seu relatório em até 48 a 72 horas.
- A equipe investiga e apresenta um plano de ação em 10 dias ou menos.
- Você é mantido informado durante todo o processo e recebe o crédito pela descoberta, a menos que prefira permanecer anônimo.
Correções e notificações
Depois de verificar e corrigir uma vulnerabilidade de segurança, a equipe vai:
- lançar um patch para as versões afetadas listadas na tabela de versões suportadas;
- publicar um aviso de segurança que resume o problema, seu impacto e como ele foi resolvido;
- notificar as partes envolvidas quando necessário.
Versões suportadas
Estas versões recebem atualizações de segurança ativamente:
| Versão | Suportada |
|---|---|
| 2.x (mais recente) | Sim |
| Versões anteriores | Não |
Proteger seu servidor
Algumas configurações são importantes para manter um servidor de DragonMineZ seguro:
- Credenciais do banco de dados: se você usa o backend de armazenamento
DATABASE, troque os valores padrão deusernameepassword(root/password) na seçãostoragedogeneral-server.jsone dê ao DragonMineZ um usuário de banco de dados próprio, com acesso apenas ao banco dele. Veja Configuração do servidor. - Permissões: os comandos do DragonMineZ são protegidos por nós de permissão. Dê os nós de nível administrador (edição de estatísticas, recarga de configuração, gerenciamento de missões etc.) apenas à equipe de confiança. Veja Permissões.
- Backups: faça backup da pasta do mundo (e do seu banco de dados, se usar um) antes de trocar de backend de armazenamento ou atualizar o mod. Veja Aviso para donos de servidores.
- Apenas downloads oficiais: instale o DragonMineZ somente pelas páginas oficiais no Modrinth e no CurseForge.
Para desenvolvedores de addons
Nunca confie nos valores enviados pelo cliente nos seus próprios pacotes de rede. Valide no servidor tudo o que altera estatísticas, desbloqueios, missões, desejos ou progressão (veja Implementação e eventos).
Obrigado por ajudar a manter o DragonMineZ seguro.