安全
安全与漏洞披露
如何报告漏洞、发现漏洞的奖励，以及报告之后我们的承诺。
开源，发现缺陷有奖励
PrivaMesh 构建在经过充分研究的原语之上——X3DH、Double Ratchet、AES-256-GCM，以及 iOS 26 上的 ML-KEM-768。实现它们的代码对全部三个客户端公开，因此任何人都可以读到它究竟做了什么，而不必轻信描述。
在其中发现的缺陷，通过漏洞赏金最高可获 US$500。
报告漏洞
发送邮件至 privamesh@proton.me，主题中注明 security。
- 注明应用版本、设备型号和 iOS 版本。
- 提供足以复现问题的细节。
- 切勿附上你的助记词。无论出于何种原因、在何种情况下，我们都不会索要它。
我们的承诺
- 2 个工作日内确认收到。如果没有收到回复，请视为邮件丢失并重新发送。
- 30 天内给出修复或计划，适用于任何能让他人读取消息、冒充账户或将用户与其活动关联起来的问题。
- 愿意的话为你署名，不愿意则保持沉默。未经询问，我们不会公开你的名字。
- 不会采取任何法律威胁，只要研究出于善意，且不针对他人的账户或数据。
奖励
经确认的发现通过漏洞赏金计划支付——严重漏洞最高 US$500，且在确认时付款，而不是在修复后。等级、范围以及不符合条件的已知问题都公布在那里，因为一个悄悄为自己已记录的缺陷付钱的计划，算不上真正的计划。
支持的版本
安全修复随下一个 App Store 版本发布。PrivaMesh 运行于 iOS 18 或更高版本，目前只发布过一个主版本，因此没有需要向后移植的旧分支。情况变化时，支持期限会在这里明确写出，而不是暗示。
已修复的内容
自 2026 年 8 月以来，共收到十二份外部报告并进行了两次内部审计。修复已经完成，但还没有一项到达你的手机：App Store 上的 1.1 版于 8 月 13 日构建，早于这些修复的编写，它们将随下一个版本送达用户。在此之前，请认为已发布的应用仍存在这些修复所针对的问题。以记录代替修复的内容见已知限制。谁报告了什么不会公开。
范围
iOS 客户端、链上协议以及架构页面中描述的手续费服务都在范围内。第三方基础设施——Solana 本身、RPC 提供商、Apple——不归我们修复，但我们希望知道相关问题。关于设计所保护范围的边界，请参阅威胁模型和已知限制。
常见问题
如何报告漏洞？
发送邮件至 privamesh@proton.me，主题中注明“security”。请注明应用版本、设备和 iOS 版本，并提供足以复现的细节。我们力争在 2 个工作日内确认收到。
有漏洞赏金吗？
有。严重发现最高 US$500，高危 US$200，中危 US$75，低危 US$25，严重程度取决于该发现破坏了我们威胁模型中的什么。所有等级、范围和排除项都在漏洞赏金页面上。
哪些版本会收到安全修复？
修复随下一个 App Store 版本发布。PrivaMesh 目前只发布过一个主版本，因此还没有需要向后移植的旧分支。