Security Policy

Supported Versions

当前只维护默认分支的最新代码。发布正式版本后，本节会补充受支持版本范围。

Reporting a Vulnerability

请不要在公开 issue 中披露未修复漏洞。

推荐通过 GitHub Security Advisories 私下报告安全问题。如果仓库尚未启用该功能，请通过维护者在仓库主页公布的安全联系方式报告。

报告中请尽量包含：

受影响的版本或提交。
复现步骤。
影响范围。
可行的缓解建议。

Sensitive Data

MailHub 可能处理 SMTP 密码、API Token、DNS API 密钥和 TLS 私钥。请不要在 issue、PR、日志或截图中提交这些内容。

Operational Guidance

生产环境必须替换默认管理员密码和 SESSION_SECRET。
.env、SQLite 数据库、证书和私钥不应进入 Git。
DNS API Token 应使用最小权限。
公网 SMTP 端口必须启用认证，避免开放中继。
使用本项目发送邮件时应遵守适用法律、服务商政策和收件人同意要求。