Bildirin, düzeltilişini açıkta izleyin.

Hata bildirimi

Issue tracker herkese açıktır ve her sürüm için aynıdır: github.com/attestkeep/attestkeep-docs. Community Edition'dan gelen bildirimler ikinci sınıf değildir; ilk bildirimlerin çoğu ücretsiz sürümden gelir ve bunları kapalı yürütmek bu katkıyı boşa harcamak olur.

En hızlı düzeltilen bildirim genellikle şunları içerir:

• operator sürümü (kubectl -n attestkeep get deploy attestkeep -o jsonpath='{.spec.template.spec.containers[0].image}'),
• Kubernetes dağıtımı ve sürümü,
• ne beklediğiniz, ne olduğu ve o sıradaki controller logu,
• admission, tarama, console ya da kanıt paketinden hangisinin işin içinde olduğu.

Lütfen herkese açık bir issue'ya kanıt paketi, tam tarama export'u ya da cluster manifest'i eklemeyin. Bunlarda image adlarınız ve cluster'ınızın yapısı bulunur, issue tracker ise herkese açıktır. Hassas kısımları çıkarılmış bir alıntı yeterlidir; daha fazlası gerekirse sizden gizli kanaldan isteriz.

Zafiyet bildirimi

Herkese açık bir issue'da değil. Aynı repo'daki GitHub private advisory formunu kullanın (Security → Report a vulnerability) ya da security@attestkeep.com adresine yazın. Mesajın şifreli olmasını istiyorsanız ilk e-postanızda belirtin; size cevap için kullanacağınız bir anahtar göndeririz.

Lütfen yeniden üretmemize yetecek bilgiyi ekleyin ve şunları belirtin:

• etkilenen bileşen ve sürüm,
• sizce etkisi ve ona ulaşmak için gereken erişim,
• bir yerde zaten herkese açık olup olmadığı,
• advisory'de nasıl anılmak istediğiniz ya da hiç anılmak istemediğiniz.

Ücretli bir bug bounty programımız yok. Söz verdiklerimiz şunlar: açık bir cevap, düzeltilip düzeltilmeyeceği ve ne zaman düzeltileceği konusunda dürüst bir tutum ve düzeltme çıktığında repo'da etkilenen sürümleri belirten bir advisory. Aksini istemedikçe advisory'de adınız geçer. Kendi kurulumunuz üzerinde iyi niyetle yapılan araştırmalar için hukuki yola başvurmayız.

Bildirdikten sonra ne olur

Bildiriminizi bir bot değil, bir insan teyit eder ve sonucun üç durumdan hangisi olduğunu size söyleriz: doğrulandı, yeniden üretilemedi ya da kapsam dışı. Doğrulanırsa ne yapmayı planladığımızı ve yaklaşık ne zaman yapacağımızı söyleriz; bu tahmin değişirse siz sormadan haber veririz. Düzeltme çıktığında repo'da etkilenen sürümleri belirten bir advisory yayımlanır; istemediğinizi söylemedikçe adınız da yer alır.

Bildirimler üç iş günü içinde teyit edilir. Bunun dışında önem derecesine göre süre tablosu yayımlamıyoruz: bol tutulmuş bir süre hiçbir şey ifade etmez, sıkı tutulmuş bir süre de kötü bir haftada tutulamayan bir söze dönüşür. Yapacağımız şey cevap vermek, cevap vermeye devam etmek ve doğrulanmış hiçbir sorunu açık bir tutum belirtmeden bırakmamaktır.

Bu, Community dahil her sürüm için geçerlidir: bir bildirim, bildirenin ne ödediğine göre değil, kendi içeriğine göre değerlendirilir. Bir Enterprise sözleşmesi destek koşulları belirliyorsa bu, bizimle o müşteri arasındaki ayrı bir konudur ve buradaki işleyişin hiçbir kısmını değiştirmez.

Release bütünlüğü

Her release image'ı linux/amd64 ve linux/arm64 için build edilir ve cosign ile imzalanır; böylece çalıştıracağınız şeyi çalıştırmadan önce doğrulayabilirsiniz:

• imzalar docs.attestkeep.com/cosign.pub adresinde yayımlanan public key ile doğrulanabilir,
• tarayıcı ve imza doğrulayıcı runtime'da indirilmez, image'ın içine sabitlenmiştir,
• zafiyet veritabanı bizim registry'mizden çekilmez, kendi registry'nize mirror'lanır.

Operator da cluster'ınızın çalıştırdığı image'ların imzalarını ve attestation'larını doğrular: aynı mekanizma, bu kez bizim ortamımıza değil sizinkine bakar.

İletişim noktası

(AB) 2024/2847 sayılı Tüzük, üreticiden zafiyet bildirimleri için tek bir iletişim noktası belirlemesini ve bildirim politikasının nerede yayımlandığını söylemesini ister. Bu sayfa o politikadır; iletişim adresi security@attestkeep.com.

Aynı bilgiler, ürünün ürettiği her kanıt paketinde kendi kuruluşunuzun kimlik bilgilerinin yanında yer alır; denetçinin okuduğu belgede ikisi birden bulunur.

Son güncelleme: 22 Ağustos 2026