RESPONSIBLE DISCLOSURE
漏洞披露政策
私报通道、明确的响应目标、修复后协调披露。适用于 IMCore 全部版本。
一句话版本
疑似安全问题？security@balala.im直接到达我们——不用开公开 issue，也不需要漏洞赏金计划。
如何报告
请邮件私报 security@balala.im，不要开公开 issue。内容包括：受影响的二进制或模块（websocket、ai_worker、持久化消费者、管理后台、Web 客户端）与所测版本（见 /healthz 输出或发行包文件名）、可复现的步骤（尽量附请求或消息样本）、以及你对影响的评估。
响应承诺
我们力争 3 个工作日内确认收悉、14 天内给出初步评估；以上是目标值而非合同 SLA。安全修复随下一个版本发布，覆盖全部版本——免费基础版与商业版在安全修复上共用同一代码基，无按版本分开的补丁通道。
披露政策
我们采用协调披露：细节在修复发布后公开，公开时间与报告者协商。请给合理的窗口期（惯例 90 天）再独立公开。如你愿意，会在发布说明中致谢；匿名报告同样受理。
范围与安全港
在范围内：按发行形态交付的服务端二进制与客户端、deploy/ 下的 Helm Chart 与 Compose 文件、及其默认配置。不在范围内：上游依赖自身的问题（请报给上游项目；我们通过每周安全扫描跟踪并升级）、无具体弱点的拒绝服务、以及偏离文档化加固指南的部署中的问题。
对避免服务降级、避免侵犯隐私、除证明问题所必需外不外取数据的善意研究，我们不会采取法律行动。