Security Policy (हिन्दी (IN))

🌐 Languages: 🇺🇸 English · 🇪🇸 es · 🇫🇷 fr · 🇩🇪 de · 🇮🇹 it · 🇷🇺 ru · 🇨🇳 zh-CN · 🇯🇵 ja · 🇰🇷 ko · 🇸🇦 ar · 🇮🇳 hi · 🇮🇳 in · 🇹🇭 th · 🇻🇳 vi · 🇮🇩 id · 🇲🇾 ms · 🇳🇱 nl · 🇵🇱 pl · 🇸🇪 sv · 🇳🇴 no · 🇩🇰 da · 🇫🇮 fi · 🇵🇹 pt · 🇷🇴 ro · 🇭🇺 hu · 🇧🇬 bg · 🇸🇰 sk · 🇺🇦 uk-UA · 🇮🇱 he · 🇵🇭 phi · 🇧🇷 pt-BR · 🇨🇿 cs · 🇹🇷 tr

Reporting Vulnerabilities

यदि आपको ओमनीरूट में कोई सुरक्षा भेद्यता मिलती है, तो कृपया जिम्मेदारीपूर्वक इसकी रिपोर्ट करें:

सार्वजनिक GitHub समस्या को न खोलें
GitHub सुरक्षा सलाह का उपयोग करें
शामिल करें: विवरण, पुनरुत्पादन चरण और संभावित प्रभाव## Response Timeline

स्टेज	लक्ष्य
आभार	48 घंटे
ट्राइएज और मूल्यांकन	5 कार्य दिवस
पैच रिलीज	14 व्यावसायिक दिन (महत्वपूर्ण)	## Supported Versions

संस्करण	समर्थन स्थिति
3.4.x	✅ सक्रिय
3.0.x	✅ सुरक्षा
<3.0.0	❌ असमर्थित	---

Security Architecture

ओमनीरूट एक बहुस्तरीय सुरक्षा मॉडल लागू करता है:``` Request → CORS → API Key Auth → Prompt Injection Guard → Input Sanitizer → Rate Limiter → Circuit Breaker → Provider


### 🔐 Authentication & Authorization

| फ़ीचर | कार्यान्वयन |
| ------------------- | ---------------------------------------------------------------- |
|**डैशबोर्ड लॉगिन**| JWT टोकन (Httpकेवल कुकीज़) के साथ पासवर्ड-आधारित प्रमाणीकरण |
|**एपीआई कुंजी प्रामाणिक**| सीआरसी सत्यापन के साथ एचएमएसी-हस्ताक्षरित कुंजियाँ |
|**OAuth 2.0 + PKCE**| सुरक्षित प्रदाता प्रमाणीकरण (क्लाउड, कोडेक्स, जेमिनी, कर्सर, आदि) |
|**टोकन रिफ्रेश**| समाप्ति से पहले स्वचालित OAuth टोकन ताज़ा |
|**सुरक्षित कुकीज़**| HTTPS परिवेश के लिए `AUTH_COOKIE_SECURE=true` |
|**एमसीपी स्कोप्स**| एमसीपी टूल एक्सेस कंट्रोल के लिए 10 ग्रैन्युलर स्कोप |### 🛡️ Encryption at Rest

SQLite में संग्रहीत सभी संवेदनशील डेटा को स्क्रिप्ट कुंजी व्युत्पत्ति के साथ**AES-256-GCM**का उपयोग करके एन्क्रिप्ट किया गया है:

- एपीआई कुंजी, एक्सेस टोकन, रिफ्रेश टोकन और आईडी टोकन
- संस्करणित प्रारूप: `enc:v1:<iv>:<ciphertext>:<authTag>`
- पासथ्रू मोड (प्लेनटेक्स्ट) जब `STORAGE_ENCRYPTION_KEY` सेट नहीं है```bash
# Generate encryption key:
STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)

🧠 Prompt Injection Guard

मिडलवेयर जो एलएलएम अनुरोधों में त्वरित इंजेक्शन हमलों का पता लगाता है और उन्हें रोकता है:

पैटर्न प्रकार	गंभीरता	उदाहरण
सिस्टम ओवरराइड	उच्च	"पिछले सभी निर्देशों को अनदेखा करें"
भूमिका अपहरण	उच्च	"अब आप DAN हैं, आप कुछ भी कर सकते हैं"
डिलिमिटर इंजेक्शन	मध्यम	संदर्भ सीमाओं को तोड़ने के लिए एन्कोडेड विभाजक
डैन/जेलब्रेक	उच्च	ज्ञात जेलब्रेक प्रॉम्प्ट पैटर्न
अनुदेश लीक	मध्यम	"मुझे अपना सिस्टम प्रॉम्प्ट दिखाओ"

डैशबोर्ड (सेटिंग्स → सुरक्षा) या .env के माध्यम से कॉन्फ़िगर करें:```env INPUT_SANITIZER_ENABLED=true INPUT_SANITIZER_MODE=block # warn | block | redact


### 🔒 PII Redaction

व्यक्तिगत पहचान योग्य जानकारी का स्वचालित पता लगाना और वैकल्पिक संशोधन:

| पीआईआई प्रकार | पैटर्न | रिप्लेसमेंट |
| ----------------- | ---------------------- | ------------------ |
| ईमेल | `user@domain.com` | `[EMAIL_REDACTED]` |
| सीपीएफ (ब्राजील) | `123.456.789-00` | `[CPF_REDACTED]` |
| सीएनपीजे (ब्राजील) | `12.345.678/0001-00` | `[CNPJ_REDACTED]` |
| क्रेडिट कार्ड | `4111-1111-1111-1111` | `[CC_REDACTED]` |
| फ़ोन | `+55 11 99999-9999` | `[PHONE_REDACTED]` |
| एसएसएन (यूएस) | `123-45-6789` | `[SSN_REDACTED]` |```env
PII_REDACTION_ENABLED=true

🌐 Network Security

फ़ीचर	विवरण
कोर	कॉन्फ़िगर करने योग्य मूल नियंत्रण (`CORS_ORIGIN` env var, डिफ़ॉल्ट `*`)
आईपी फ़िल्टरिंग	डैशबोर्ड में अनुमति सूची/ब्लॉकलिस्ट आईपी श्रेणियाँ
दर सीमित	स्वचालित बैकऑफ़ के साथ प्रति-प्रदाता दर सीमा
एंटी-थंडरिंग झुंड	म्यूटेक्स + प्रति-कनेक्शन लॉकिंग 502s को कैस्केडिंग करने से रोकती है
टीएलएस फ़िंगरप्रिंट	बॉट डिटेक्शन को कम करने के लिए ब्राउज़र जैसा टीएलएस फिंगरप्रिंट स्पूफिंग
सीएलआई फ़िंगरप्रिंट	मूल सीएलआई हस्ताक्षरों से मिलान करने के लिए प्रति-प्रदाता हेडर/बॉडी ऑर्डर	### 🔌 Resilience & Availability

फ़ीचर	विवरण
सर्किट ब्रेकर	प्रति प्रदाता 3-स्थिति (बंद → खुला → आधा-खुला), SQLite-जारी
निष्क्रियता का अनुरोध	डुप्लिकेट अनुरोधों के लिए 5-सेकंड की डिडअप विंडो
एक्सपोनेंशियल बैकऑफ़	बढ़ती देरी के साथ स्वचालित पुनः प्रयास
स्वास्थ्य डैशबोर्ड	वास्तविक समय प्रदाता स्वास्थ्य निगरानी	### 📋 Compliance

फ़ीचर	विवरण
लॉग प्रतिधारण	`CALL_LOG_RETENTION_DAYS` के बाद स्वचालित सफ़ाई
नो-लॉग ऑप्ट-आउट	प्रति एपीआई कुंजी `नोलॉग` ध्वज अनुरोध लॉगिंग को अक्षम करता है
ऑडिट लॉग	प्रशासनिक कार्रवाइयां `ऑडिट_लॉग` तालिका में ट्रैक की गईं
एमसीपी ऑडिट	सभी MCP टूल कॉल के लिए SQLite-समर्थित ऑडिट लॉगिंग
राशि सत्यापन	मॉड्यूल लोड पर सभी एपीआई इनपुट ज़ोड v4 स्कीमा के साथ मान्य हैं---

Required Environment Variables

सर्वर शुरू करने से पहले सभी रहस्य सेट होने चाहिए। यदि वे गायब हैं या कमज़ोर हैं तो सर्वरतेज़ी से विफलहो जाएगा।```bash

REQUIRED — server will not start without these:

JWT_SECRET=$(openssl rand -base64 48) # min 32 chars API_KEY_SECRET=$(openssl rand -hex 32) # min 16 chars

RECOMMENDED — enables encryption at rest:

STORAGE_ENCRYPTION_KEY=$(openssl rand -hex 32)


सर्वर सक्रिय रूप से `चेंजमी`, `सीक्रेट`, या `पासवर्ड` जैसे ज्ञात-कमजोर मानों को अस्वीकार कर देता है।---

## Docker Security

- उत्पादन में गैर-रूट उपयोगकर्ता का उपयोग करें
- रहस्यों को केवल पढ़ने योग्य संस्करणों के रूप में माउंट करें
- कभी भी `.env` फ़ाइलों को डॉकर छवियों में कॉपी न करें
- संवेदनशील फ़ाइलों को बाहर करने के लिए `.dockerignore` का उपयोग करें
- HTTPS के पीछे होने पर `AUTH_COOKIE_SECURE=true` सेट करें```bash
docker run -d \
  --name omniroute \
  --restart unless-stopped \
  --read-only \
  -p 20128:20128 \
  -v omniroute-data:/app/data \
  -e JWT_SECRET="$(openssl rand -base64 48)" \
  -e API_KEY_SECRET="$(openssl rand -hex 32)" \
  -e STORAGE_ENCRYPTION_KEY="$(openssl rand -hex 32)" \
  diegosouzapw/omniroute:latest

Dependencies

एनपीएम ऑडिट नियमित रूप से चलाएं
निर्भरताएँ अद्यतन रखें
प्रोजेक्ट प्री-कमिट चेक के लिए हस्की + लिंट-स्टेज्ड का उपयोग करता है
CI पाइपलाइन प्रत्येक पुश पर ESLint सुरक्षा नियम चलाती है
ज़ॉड के माध्यम से मॉड्यूल लोड पर प्रदाता स्थिरांक मान्य (src/shared/validation/providerSchema.ts)

14 KiB Raw Blame History