Bildirin, düzeltilmesini açıkta izleyin.

Hata bildirimi

Hata takip sistemi herkese açıktır ve her sürüm için aynıdır: github.com/portiger/kapan-k8s. Community Edition bildirimleri ikinci sınıf değildir — ilk bildirimlerin çoğu ücretsiz sürümden gelir ve bunları kapalı kapılar ardında ele almak o katkıyı ziyan etmek olurdu.

En hızlı çözülen bildirimler genelde şunları taşır:

• operatör sürümü (kubectl -n portiger-kapan get deploy kapan -o jsonpath='{.spec.template.spec.containers[0].image}'),
• Kubernetes dağıtımı ve sürümü,
• ne beklediğiniz, ne olduğu ve o ana ait controller log'u,
• admission, tarama, konsol ya da kanıt paketinden hangisinin ilgili olduğu.

Lütfen herkese açık bir issue'ya kanıt paketi, tam tarama çıktısı veya küme manifest'i eklemeyin. Bunlar imaj adlarınızı ve kümenizin yapısını taşır, takip sistemi ise herkese açıktır. Maskelenmiş bir kesit yeterlidir; daha fazlası gerekirse özel olarak isteriz.

Güvenlik açığı bildirimi

Herkese açık issue ile değil. Aynı depodaki GitHub özel duyuru formunu kullanın (Security → Report a vulnerability) ya da security@portiger.com adresine yazın. Mesajın şifreli olmasını istiyorsanız ilk e-postada belirtin, yanıt verebileceğiniz bir anahtar gönderelim.

Yeniden üretebilmemiz için yeterli bilgiyi ve şunları ekleyin:

• etkilenen bileşen ve sürüm,
• etkisinin ne olduğunu düşündüğünüz ve ona ulaşmak için gereken erişim,
• durumun herhangi bir yerde zaten kamuya açık olup olmadığı,
• duyuruda nasıl anılmak istediğiniz ya da anılmak istemediğiniz.

Ücretli bir ödül programımız yok. Taahhüt ettiğimiz şey; dürüst bir cevap, desteklenen bir sürümde düzeltme ve etkilenen sürümleri adıyla anan bir duyuru — aksini istemediğiniz sürece size atıfla. Kendi kurulumunuz üzerinde iyi niyetle yürütülen araştırma nedeniyle hukuki yola başvurmayız.

Bildirdikten sonra ne oluyor

Bildiriminizin alındığını bir bot değil bir insan teyit eder ve size üç şeyden hangisi olduğunu söyleriz: doğrulandı, yeniden üretilemedi ya da kapsam dışı. Doğrulandıysa ne yapmayı düşündüğümüzü ve kabaca ne zaman yapacağımızı söyleriz; o tahmin kayarsa siz sorarak değil bizden duyarsınız. Düzeltme yayınlandığında depoda, etkilenen sürümleri adıyla anan bir duyuru çıkar — istemediğinizi söylemediğiniz sürece size atıfla.

Bir süre tablosu yayımlamıyoruz. Yürütülecek bir ürünü olan iki kişi, her bildirene önceden aynı saati dürüstçe vaat edemez; yayımlanan bir sayı ya anlamsızlaşana kadar şişirilir ya da kötü bir haftada tutamayacağımız bir taahhüt olur. Yapacağımız şey cevap vermek, cevap vermeyi sürdürmek ve doğrulanmış hiçbir sorunu belirtilmiş bir tutum olmadan bırakmamaktır.

Bu, Community dahil her sürüm için geçerlidir — bir bildirim, bildirenin ne ödediğine değil ne olduğuna göre ele alınır. Bir Enterprise sözleşmesi destek koşulları belirliyorsa, o bizimle o müşteri arasında ayrı bir konudur ve buradaki hiçbir şeyin işleyişini değiştirmez.

Sürüm bütünlüğü

Her sürüm imajı linux/amd64 ve linux/arm64 için derlenir ve cosign ile imzalanır; böylece çalıştırmadan önce ne çalıştıracağınızı doğrulayabilirsiniz:

• imzalar, depoda yayımlanan açık anahtarla doğrulanabilir,
• tarayıcı ve imza doğrulayıcı çalışma zamanında çekilmez, imaja gömülüdür,
• zafiyet veritabanı bizden çekilmez, kendi registry'nize aynalanır.

Operatörün kendisi de kümenizin çalıştırdığı imajların imzalarını ve attestation'larını doğrular — aynı makine, bizim tarafımıza değil sizin yapınıza dönük.

İrtibat noktası

(AB) 2024/2847 Tüzüğü, üreticiden zafiyet bildirimleri için tek bir irtibat noktası belirlemesini ve açıklama politikasının nerede olduğunu söylemesini ister. Bu sayfa o politikadır; irtibat noktası security@portiger.com adresidir.

Aynı bilgiler, ürünün ürettiği her kanıt paketinde kendi kuruluş kimliğinizin yanında yer alır — böylece denetçinin okuduğu belge ikisini birden taşır.

Son güncelleme: 22 Ağustos 2026