Security Policy

Scope

Dieses Repo beschreibt und automatisiert ein lokales Infrastruktur-Setup fuer eine Arch-Linux-Workstation. Sicherheitsrelevante Meldungen sind besonders wichtig bei:

Container-Privilegien und Volume-Mounts
Netzwerkdesign rund um br0, macvlan und lokale Bindings
Backup-/Restore- und Rollback-Verhalten
Secret-Handling in .env, systemd-Units oder Hilfsskripten
Healthchecks, Update-Logik und unerwarteten Downgrade-/Rollback-Faellen

Was als Sicherheitsproblem gilt

Bitte melde insbesondere:

unbeabsichtigte Exponierung von Hermes oder OpenClaw auf allen Interfaces
unsichere Defaults bei Docker-Rechten oder Netzfreigaben
Fehler, durch die Secrets im Repo, in Logs oder in Backups landen koennen
Rollback-/Restore-Pfade, die zu Datenverlust oder Privilegienproblemen fuehren
Konfigurationsfehler, die Container versehentlich zu stark koppeln

Was nicht darunter faellt

Diese Punkte sind wichtig, aber keine Security-Meldung im engeren Sinn:

reine Doku-Fehler ohne Sicherheitsauswirkung
Feature-Wuensche
Port- oder Naming-Praeferenzen ohne Risiko
allgemeine Bedienfragen

Meldung von Schwachstellen

Bitte keine sicherheitsrelevanten Details direkt in einem oeffentlichen Issue posten.

Empfohlener Ablauf:

Privaten Kontakt zum Maintainer herstellen
Betroffene Datei, Version/Tag und Konfiguration beschreiben
Moegliche Auswirkung erklaeren
Reproduktionsschritte knapp dokumentieren
Falls moeglich einen sicheren Fix-Vorschlag beilegen

Empfohlene Informationen:

Repo-Tag oder Commit
relevante .env-Werte ohne Secrets
Host-Umgebung (z. B. Arch-Version, Docker-Version)
Logs oder doctor-Ausgaben, soweit bereinigt

Reaktionsziel

Es gibt hier kein formelles SLA. Ziel ist dennoch:

zeitnahe Bestaetigung der Meldung
Einordnung nach Risiko
Fix oder Mitigation-Hinweis
kurzer Eintrag im CHANGELOG.md, wenn eine harte Aenderung noetig ist

Support-Fenster

Aktiv gepflegt wird jeweils der aktuelle Stand auf main sowie der letzte getaggte Release-Stand, soweit reproduzierbar.

Aeltere Tags koennen Hinweise bekommen, aber ohne zugesagte Rueckportierung.

2.1 KiB Raw Permalink Blame History