安全性
安全性與漏洞揭露
如何回報漏洞、發現漏洞的獎勵，以及回報之後我們的承諾。
開源，發現缺陷有獎勵
PrivaMesh 建構在經過充分研究的原語之上——X3DH、Double Ratchet、AES-256-GCM，以及 iOS 26 上的 ML-KEM-768。實作它們的程式碼對全部三個用戶端公開，因此任何人都可以讀到它究竟做了什麼，而不必輕信描述。
在其中發現的缺陷，透過漏洞賞金最高可獲 US$500。
回報漏洞
寄送電子郵件至 privamesh@proton.me，主旨中註明 security。
- 註明 App 版本、裝置型號和 iOS 版本。
- 提供足以重現問題的細節。
- 切勿附上你的復原詞組。無論出於何種原因、在何種情況下，我們都不會索取它。
我們的承諾
- 2 個工作天內確認收到。如果沒有收到回覆，請視為郵件遺失並重新寄送。
- 30 天內提出修正或計畫，適用於任何能讓他人讀取訊息、冒充帳號或將使用者與其活動連結起來的問題。
- 願意的話為你署名，不願意則保持沉默。未經詢問，我們不會公開你的名字。
- 不會採取任何法律威脅，只要研究出於善意，且不針對他人的帳號或資料。
獎勵
經確認的發現透過漏洞賞金計畫支付——嚴重漏洞最高 US$500，且在確認時付款，而不是在修復後。等級、範圍以及不符合資格的已知問題都公布在那裡，因為一個悄悄為自己已記錄的缺陷付錢的計畫，稱不上真正的計畫。
支援的版本
安全性修正隨下一個 App Store 版本發布。PrivaMesh 執行於 iOS 18 或更新版本，目前只發布過一個主要版本，因此沒有需要向後移植的舊分支。情況改變時，支援期限會在這裡明確寫出，而不是暗示。
已修正的內容
自 2026 年 8 月以來，共收到十二份外部回報並進行了兩次內部稽核。修正已經完成，但還沒有一項到達你的手機：App Store 上的 1.1 版於 8 月 13 日建置，早於這些修正的撰寫，它們將隨下一個版本送達使用者。在此之前，請認為已發布的 App 仍存在這些修正所針對的問題。以記錄代替修正的內容見已知限制。誰回報了什麼不會公開。
範圍
iOS 用戶端、鏈上協定以及架構頁面中描述的手續費服務都在範圍內。第三方基礎設施——Solana 本身、RPC 供應商、Apple——不歸我們修復，但我們希望知道相關問題。關於設計所保護範圍的邊界，請參閱威脅模型和已知限制。
常見問題
如何回報漏洞？
寄送電子郵件至 privamesh@proton.me，主旨中註明「security」。請註明 App 版本、裝置和 iOS 版本，並提供足以重現的細節。我們力求在 2 個工作天內確認收到。
有漏洞賞金嗎？
有。嚴重發現最高 US$500，高風險 US$200，中風險 US$75，低風險 US$25，嚴重程度取決於該發現破壞了我們威脅模型中的什麼。所有等級、範圍和排除項目都在漏洞賞金頁面上。
哪些版本會收到安全性修正？
修正隨下一個 App Store 版本發布。PrivaMesh 目前只發布過一個主要版本，因此還沒有需要向後移植的舊分支。