아직 정식 릴리스 이전 단계이므로, 보안 수정은 main 브랜치를 기준으로 반영합니다.

보안 취약점은 공개 GitHub 이슈로 올리지 말아 주세요. 공개되면 수정 전에 악용될 수 있습니다.

비공개로 security@nextain.io 에 이메일로 알려 주세요. (행동 강령 위반 신고는 보안과 별개로 conduct@nextain.io로 받습니다.)

신고에 다음을 적어 주시면 처리가 빨라집니다.

• 무엇이 문제인지 — 취약점에 대한 설명
• 어떻게 재현하는지 — 같은 문제가 다시 나타나도록 확인하는 단계
• 어떤 피해가 가능한지 — 공격자가 무엇을 할 수 있는지, 또는 사용자가 어떤 피해를 볼 수 있는지
• 수정 아이디어 — (가능하다면)

접수 후 48시간 안에 확인 회신, 7일 안에 상세 답변을 드리는 것을 목표로 합니다.

이 저장소는 API 키·토큰·비밀번호·개인정보(음성·얼굴 등)를 Git이 추적하는 경로에 두지 않습니다. 그런 값은 .gitignore로 제외되는 data-private/ 디렉토리나 외부 비밀 관리 도구에만 둡니다. 자동 점검이 Git 추적 경로에서 비밀 정보로 보이는 패턴을 발견하면 검사를 실패 처리해, 실수로 올라가는 것을 막습니다.

실수로 비밀 정보를 커밋했다면, 가장 먼저 해당 키·토큰을 폐기하고 새로 발급하세요(이미 노출된 것으로 가정합니다). 그다음 즉시 알려 주시면, 추적에서 제거하고 이미 원격에 올라간 경우 커밋 이력에서도 함께 정리합니다.