安全¶
安全公告¶
我们通过 GitHub 安全公告发布安全通知。 可以查看该页面，了解安全团队的最新公告。
每份公告都会与修复相应漏洞的版本一同发布。 如需获得发布通知，在 GitHub 关注 Traefik 仓库， 并选择 Custom > Releases。
CVE¶
已报告的漏洞可在 cve.mitre.org 查询。
只有影响 Traefik 正式可用（GA）版本的漏洞才会创建 CVE。 在非 GA 版本（候选发布版、测试版、提前访问版或开发分支）中发现的漏洞， 会直接修复，不创建 CVE。
威胁模型¶
Traefik 是一个边缘路由器。它的安全边界位于不受信任的网络客户端与 它所路由到的服务之间。只有无特权、不受信任的客户端跨越该边界时，报告才被视为漏洞。 从边界另一侧出发的报告描述的是缺陷，我们也会修复缺陷。
此威胁模型适用于 2026年9月1日及之后提交的报告。它陈述的是我们已在采用的立场， 将这些立场公开，是为了让你不必再花时间重新摸索。
Traefik 信任什么¶
- 配置及提供配置的所有提供者：静态与动态配置、 Kubernetes 对象、容器标签、文件和 KV 存储。任何能够写入 Traefik 所读取配置的人， 本来就能控制路由，也能重定向流量、终止 TLS 或移除中间件， 这是设计行为。
- 运维人员和集群管理员。 如果报告要求具有运维、集群管理员或等效权限， 就没有跨越这条边界。
- 运维人员已声明的信任。 当配置声明某个客户端、命名空间或 转发请求头可信时，Traefik 就会信任它。这类决定在入口点、任何中间件运行之前作出一次， 不会在每个中间件内重复判断。
- 内部配置键空间不是共享实例上的租户隔离边界。 对其加固属于纵深防御。
什么构成跨越边界¶
在不需要配置写入权限和运维权限的情况下：
- 路由或匹配绕过：不受信任的请求到达配置未授权的路由器、服务或后端。
- 在合理理解文档时应当正确的配置下，身份验证或授权失败时放行，或能够被绕过。
- 代理流量的机密性或完整性遭到破坏，包括凭据泄漏，以及 TLS 或 mTLS 强制约束失效。
- 未认证请求可以触发的远程崩溃或无界资源消耗。
- 越过配置显式建立的边界进行权限提升。
实际如何划定边界¶
简要说明边界，无法独立判断每一份具体报告。我们已经对一些问题类型形成明确立场， 并列出了相邻但会被视为漏洞的变体，以及证明这些判断的 CVE， 详见安全决策页面。提交之前，先将发现与该页面对照。
作为缺陷处理，不发布公告¶
有些报告描述了真实缺陷，我们会修复，往往还会优先处理；但由于它们没有跨越上述边界， 因此不会发布安全公告或创建 CVE。我们会明确说明， 而不会含糊带过。基于这些理由关闭报告时，也会指出 安全决策中的具体条目。
报告漏洞¶
我们希望让所有人都能安全地使用 Traefik。 如果你在 Traefik 中发现安全漏洞， 感谢你通过创建安全公告， 以负责任的方式向我们披露。
协调披露¶
报告的漏洞在安全公告发布前都处于保密期。 在此之前，请对报告、概念验证代码和与安全团队的所有交流保密， 不要向已参与该报告的人员之外的任何人分享。 这种保密性是保护 Traefik 用户安全的基础： 在修复版本发布前，公开的漏洞可能被用于攻击 所有尚无办法升级的部署。
安全公告会与修复版本一同发布， 我们会与报告者协调发布日期。 公告发布后，报告者可以公开讨论漏洞， 除非违反后述行为准则，否则会在公告中获得署名致谢。
如果需要在发布前将报告分享给第三方， 例如其他受影响的供应商，请先在安全公告中征求我们的意见。
漏洞提交行为准则¶
我们承诺负责任地处理每份有效报告， 也希望提交者以尊重、合作的方式与安全团队沟通。
以下行为不可接受，我们不会容忍：
- 威胁在你单方面指定的期限内未修复时公开披露漏洞。
- 最后通牒或其他施压手段，试图迫使团队超出正常分流和修复流程更快回应。
- 以不披露问题为交换，索要付款、漏洞赏金或任何形式的补偿 （Traefik 没有付费漏洞赏金计划）。
- 对安全团队进行攻击性、辱骂性或不尊重的沟通。
出现上述行为的提交者可能面临以下后果：
- 在安全公告及后续沟通中不予署名致谢。
- 其 GitHub 账户可能因违反平台服务条款而被举报给 GitHub。
- 我们可能停止就该报告继续沟通；如果问题有效，仍会处理底层问题。
我们认真对待安全，并会在资源允许的范围内尽快处理有效报告。 耐心与建设性的对话有助于我们更有效地保护用户。
提交质量指南¶
我们收到的低质量漏洞报告越来越多，其中不少并不是真正的安全问题。 许多报告由 AI/LLM 工具生成，未经任何人工验证或测试就提交。 这既浪费安全团队时间，也会延误真实漏洞的处理。
提交安全公告前，你必须：
- 提交前亲自认真测试并验证漏洞。 必须能够给出可运行的概念验证和清楚的复现步骤。
- 理解漏洞影响，解释它如何在真实场景中被利用。
- 确认不是误报。 确保所报告行为确实构成安全问题，而不是预期行为。 提交前，对照威胁模型检查。
- 每份报告只提交一项发现。 将多个无关问题捆绑在同一公告中，会拖慢每项问题的分流， 也会迫使一个关闭决定同时覆盖本应得到不同答复的多项主张。
- 披露 AI 工具的使用情况。 使用 AI 助手发现问题或撰写报告可以接受，但必须说明。 写明所用工具以及你亲自验证的内容。未披露的 AI 生成报告如果最终未经验证， 会被视为违反本指南，而不只是低质量报告。
AI 生成报告政策¶
由 AI/LLM 工具直接生成、未经适当人工验证的安全报告会被立即关闭。
未经验证的 AI 生成报告通常具有以下特征，但不限于：
- 没有可运行的概念验证或复现步骤。
- 只有通用、理论性的漏洞描述，没有实际测试证据。
- 误解 Traefik 的架构或威胁模型。
- 编造不存在的代码路径、配置选项或行为。
反复提交低质量或未经验证报告的贡献者，可能被封禁账户。
我们感谢安全研究人员投入时间，严谨验证发现。 重质量而不是数量，有助于让所有人安全地使用 Traefik。