اگر لینک جعلی، فیشینگ یا نود مشکوک دیدید، اطلاعات حساس را در یک Issue عمومی قرار ندهید. گزارش خصوصی از طریق تلگرام SiNAVM انجام می‌شود.

گردش‌کار انتشار، محتوای کانال عمومی @sinavm و فایل‌های پیوست منتخب آن را در صفحات عمومی همین مخزن بازنشر می‌کند. متن پست‌ها، پیوندها، رسانه‌ها و فایل‌های کانفیگِ منتشرشده در کانال ممکن است در GitHub Pages نیز قابل دریافت باشند.

• فقط اطلاعاتی را در کانال منتشر کنید که انتشار عمومی آن عمدی است و حق انتشارش وجود دارد.
• رمز عبوری که صریحاً داخل یک پست عمومی نوشته شده باشد، در داده آرشیو ذخیره و در رابط پست نمایش داده می‌شود؛ آن را عمومی فرض کنید.
• توکن، کلید API، رشته نشست تلگرام، رمز شخصی، فایل پیکربندی خصوصی یا اطلاعات کاربران را در پست عمومی یا فایل‌های مخزن قرار ندهید.
• مقادیر TELEGRAM_API_ID، TELEGRAM_API_HASH، TELEGRAM_SESSION و توکن dispatch باید فقط در GitHub Actions Secrets نگهداری شوند، نه در فایل‌های مخزن.
• پیوست‌های کانال قبل از انتشار باید از نظر نام فایل، محتوا و مجوز بازنشر بررسی شوند. پاک‌سازی نام فایل به‌تنهایی جایگزین بررسی محتوای فایل نیست.
• بعضی پروفایل‌های عمومی .ovpn در media/ می‌توانند کلید/گواهی سمت کلاینت را داخل خود داشته باشند؛ آن‌ها را اطلاعات منتشرشده و قابل استفاده عمومی فرض کنید. اگر پروفایلی دیگر نباید عمومی باشد، پیش از حذف فایل باید اعتبارنامه مربوطه جداگانه باطل یا تعویض شود.

• workflowهای فعال فقط فایل‌های داخل .github/workflows/ هستند.
• telegram-posts.yml در ریشه و post-channels/channels-posts.yml خارج از مسیر workflowها قرار دارند؛ فعلاً اجرا نمی‌شوند و برای جلوگیری از حذف تاریخچه نگه داشته شده‌اند.
• restore-index.yml یک ابزار دستی و محدود برای بازیابی تاریخی صفحه اصلی است؛ اجرای آن بدون تأیید متنی صریح مجاز نیست و نباید به‌عنوان روش عمومی rollback استفاده شود.
• برای push داخل همین مخزن از GITHUB_TOKEN با مجوز محدود contents: write استفاده می‌شود. توکن شخصی فقط برای dispatch به مخزن sinavm/melishekan لازم است و باید دسترسی contents: write به همان مخزن مقصد داشته باشد. مقدار و scope این secret از داخل کد قابل مشاهده نیست و باید در تنظیمات مخزن بررسی شود.

برای گزارش امنیتی، جزئیات بازتولید، اثر و نسخه/کامیت مرتبط را خصوصی ارسال کنید. لطفاً exploit، توکن یا داده شخصی را در Issue عمومی منتشر نکنید.

اشتراک‌های عمومی از منابع ثالث جمع‌آوری می‌شوند؛ این مخزن تضمینی درباره امنیت، پایداری یا دسترس‌پذیری سرورهای شخص ثالث نمی‌دهد.