Security

SECURITY.md

🔒 Security Policy

📅 Supported Versions

Мы поддерживаем только актуальные версии бота и обновляем их по мере необходимости:

Версия	Поддержка
main	✅
dev	⚠ Только для тестирования
<старые релизы>	❌ Не поддерживаются

📢 Сообщения об уязвимостях

Если вы нашли уязвимость или подозрительное поведение:

Не публикуйте её в открытых каналах.
Отправьте детальное описание проблемы на почту разработчика или в приватный чат.
В описании укажите:
- Версию бота и окружение (Python, ОС, Docker и т.д.)
- Шаги для воспроизведения
- Ожидаемое и фактическое поведение
- Логи или скриншоты, если возможно

🛡 Защита API ключей

Никогда не коммитьте BOT_TOKEN, GEMINI_API_KEY и другие секреты в репозиторий.
Используйте .env файл для хранения конфигурации.
Для продакшена применяйте переменные окружения (ENV variables).
Периодически меняйте ключи и токены.

🗄 Защита данных пользователей

История сообщений хранится в зашифрованной базе данных.
Логи, содержащие личные данные, автоматически очищаются каждые X дней.
Доступ к админ-командам ограничен по ID пользователей.
Все запросы между ботом и Django API передаются по HTTPS.

⚠ Ограничения и защита от злоупотреблений

Лимиты на количество запросов в минуту для каждого пользователя.
Автоматическая блокировка при спаме или DDoS-активности.
Фильтрация запрещённого контента перед отправкой в AI-модель.
Ограничение размера загружаемых файлов.

🔄 Обновления безопасности

Патчи безопасности выпускаются как можно скорее после обнаружения уязвимости.
Рекомендуется всегда использовать последнюю версию.
Обновляйте зависимости командой:

pip install --upgrade -r requirements.txt

There aren’t any published security advisories