Seguridad

1. Cómo avisar

Escribe a contact@lnkstart.com con lo que has encontrado, cómo reproducirlo, la versión (lnkstart --version) y dónde lo probaste. Mejor en privado: no lo publiques hasta que haya una versión que lo arregle (apartado 4).

2. Qué cubre

• El programa lnkstart: el servidor, el agente y el protocolo entre los dos.
• El instalador (install.sh), las descargas de /releases/ con sus firmas, y lnkstart update.
• Este sitio y su API: el registro, las cuentas, el panel y las licencias.

3. Qué no

• Probar contra servidores LnkStart de otras personas: cada uno es de su dueño, no nuestro. Instala el tuyo y prueba ahí.
• Denegación de servicio, spam, ingeniería social o acceso físico.
• Informes automáticos sin una forma de reproducirlos.

4. Qué hacemos con tu aviso

• Te contestamos en 5 días laborables como mucho, con si lo hemos podido reproducir y qué vamos a hacer.
• Lo arreglamos, publicamos una versión con el arreglo y lo contamos en su registro de cambios; con tu nombre, si quieres.
• Te pedimos que esperes a esa versión, y 90 días como mucho desde tu aviso, antes de contarlo en público.
• No pagamos recompensas.

5. Buena fe

Si investigas dentro de estas reglas —sin ver datos de otros más allá de lo justo para demostrar el fallo, sin tumbar ningún servicio y avisándonos antes que a nadie—, no emprenderemos acciones legales contra ti por ello.

6. Cómo saber que un binario es nuestro

lnkstart update sólo instala una versión cuyo manifiesto está firmado, y lo comprueba con las claves que lleva dentro; lnkstart verify-release hace lo mismo con una descarga. Un binario que no pase esa comprobación no es nuestro.