From 49c040152fc4e1ba213da6ad4e7bdc866f791fbc Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?M=C3=A1rio=20Lucas?= Date: Mon, 26 Oct 2026 13:02:57 -0300 Subject: [PATCH 1/2] PHPAY-167: fix: point the project channels at ones that exist phpay.io does not resolve - NXDOMAIN on the root and on the subdomain, with no MX - and every channel of the project pointed there: the security report, the code of conduct, support, commercial licensing, and the homepage of both the repository and Packagist. In a payments library a security channel that promises and does not deliver is worse than none: it discourages responsible disclosure and sends whoever found the flaw nowhere. The channels now use GitHub's own, which need no domain: - security: the private vulnerability report, enabled on the repository. SECURITY.md, config.yml and bug_report.yml point at the form. - code of conduct: the same private channel. - support: Issues, which already exist. - composer.json gains homepage and the support block, which is what Packagist renders as Issues, Source and Docs. Both were absent. - the README footer no longer carries the dead address; it links Issues and the security policy next to the author's profile. Left alone on purpose: the commercial licensing invitation in LICENSE.md and in the README. It asks the reader to write about alternative terms, and that needs an address someone reads, not a vulnerability form. It stays as it is until one is decided. A caveat recorded with the change: GitHub's private report is labelled for vulnerabilities. Using it for a harassment report works technically - it is a private channel to the maintainers - but it is neither obvious nor welcoming for someone who needs to report, and whoever can see security advisories can see the report. An address would serve better; until there is one, a private channel beats an address that does not exist. --- .github/CODE_OF_CONDUCT.md | 2 +- .github/ISSUE_TEMPLATE/bug_report.yml | 2 +- .github/ISSUE_TEMPLATE/config.yml | 2 +- .github/SECURITY.md | 4 +++- .github/SUPPORT.md | 5 +++-- README.md | 3 ++- composer.json | 7 +++++++ 7 files changed, 18 insertions(+), 7 deletions(-) diff --git a/.github/CODE_OF_CONDUCT.md b/.github/CODE_OF_CONDUCT.md index a3ae623..cc127ec 100644 --- a/.github/CODE_OF_CONDUCT.md +++ b/.github/CODE_OF_CONDUCT.md @@ -25,6 +25,6 @@ Comportamentos inaceitáveis incluem: ## Aplicação do Código de Conduta -Casos de comportamento abusivo, assediador ou inaceitável podem ser relatados à equipe responsável em fale@phpay.io. Todas as queixas serão analisadas e investigadas com imparcialidade e respeito pela privacidade. +Casos de comportamento abusivo, assediador ou inaceitável podem ser relatados à equipe responsável pelo [canal privado do repositório](https://github.com/phpay-io/phpay/security/advisories/new), que é visível apenas para você e para os mantenedores. Todas as queixas serão analisadas e investigadas com imparcialidade e respeito pela privacidade. Os mantenedores do projeto que não seguirem ou aplicarem o Código de Conduta podem enfrentar repercussões temporárias ou permanentes conforme determinado pelos outros membros da liderança do projeto. diff --git a/.github/ISSUE_TEMPLATE/bug_report.yml b/.github/ISSUE_TEMPLATE/bug_report.yml index 457e704..96df65b 100644 --- a/.github/ISSUE_TEMPLATE/bug_report.yml +++ b/.github/ISSUE_TEMPLATE/bug_report.yml @@ -20,7 +20,7 @@ body: Use valores falsos (`fake-token`, `123.456.789-01`) ao reduzir o caso. Se o problema **é** uma falha de segurança, não abra issue: siga a [política de segurança](https://github.com/phpay-io/phpay/blob/develop/.github/SECURITY.md) - e escreva para `sec@phpay.io`. + e use o [relato privado](https://github.com/phpay-io/phpay/security/advisories/new). - type: input id: phpay-version diff --git a/.github/ISSUE_TEMPLATE/config.yml b/.github/ISSUE_TEMPLATE/config.yml index c15c772..2603814 100644 --- a/.github/ISSUE_TEMPLATE/config.yml +++ b/.github/ISSUE_TEMPLATE/config.yml @@ -2,7 +2,7 @@ blank_issues_enabled: false contact_links: - name: Falha de segurança url: https://github.com/phpay-io/phpay/blob/develop/.github/SECURITY.md - about: Não abra issue pública. O relato vai por e-mail para sec@phpay.io. + about: Não abra issue pública. O relato vai pelo canal privado do GitHub, visível só para você e para os mantenedores. - name: Dúvida de uso url: https://github.com/phpay-io/phpay/blob/develop/.github/SUPPORT.md about: Como usar um recurso, qual gateway escolher, onde procurar antes de abrir issue. diff --git a/.github/SECURITY.md b/.github/SECURITY.md index 09ebcae..b8184ef 100644 --- a/.github/SECURITY.md +++ b/.github/SECURITY.md @@ -12,7 +12,9 @@ Se você encontrar uma vulnerabilidade de segurança, siga estas etapas: 2. **Envie um relatório privado**: - - Entre em contato diretamente pelo e-mail: [sec@phpay.io](mailto:sec@phpay.io). + - Use o **[relato privado de vulnerabilidade do GitHub](https://github.com/phpay-io/phpay/security/advisories/new)**. Ele abre + um canal visível só para você e para os mantenedores, no próprio + repositório — não precisa de e-mail e o histórico fica junto da correção. - Inclua detalhes suficientes para que possamos entender e reproduzir o problema, como: - Descrição da vulnerabilidade. - Passos para reproduzi-la (se aplicável). diff --git a/.github/SUPPORT.md b/.github/SUPPORT.md index 7d7b166..81278c9 100644 --- a/.github/SUPPORT.md +++ b/.github/SUPPORT.md @@ -18,8 +18,9 @@ Se você encontrar problemas, dúvidas ou precisa de ajuda, siga estas etapas: - Se não encontrar resposta, crie uma nova issue descrevendo o problema de forma clara e detalhada. -4. **Entre em contato diretamente** (para questões críticas ou vulnerabilidades de segurança): - - Email: fale@phpay.io +4. **Falha de segurança é outro caminho**: + - Não abra issue pública. Use o [relato privado de vulnerabilidade](https://github.com/phpay-io/phpay/security/advisories/new), + como descrito na [política de segurança](./SECURITY.md). ## Política de Resposta diff --git a/README.md b/README.md index 6d56bc7..e30e20f 100644 --- a/README.md +++ b/README.md @@ -338,5 +338,6 @@ Precisa de termos diferentes? Escreva para [fale@phpay.io](mailto:fale@phpay.io)

Feito por Mário Lucas · - fale@phpay.io + Issues · + Segurança

diff --git a/composer.json b/composer.json index 4c5d87b..f10d3b8 100644 --- a/composer.json +++ b/composer.json @@ -21,6 +21,13 @@ "phpay" ], "license": "BUSL-1.1", + "homepage": "https://github.com/phpay-io/phpay", + "support": { + "issues": "https://github.com/phpay-io/phpay/issues", + "source": "https://github.com/phpay-io/phpay", + "docs": "https://github.com/phpay-io/phpay/blob/develop/docs/README.md", + "security": "https://github.com/phpay-io/phpay/security/policy" + }, "autoload": { "psr-4": { "PHPay\\": "src/", From c1cb37664c9aaad6689b747f3421c87a988a2f6b Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?M=C3=A1rio=20Lucas?= Date: Mon, 26 Oct 2026 14:57:47 -0300 Subject: [PATCH 2/2] PHPAY-167: fix: give the commercial licensing invitation a live address The last place the dead domain remained. LICENSE.md invites the reader to write about alternative terms and the README repeats it, and both pointed at a domain with no DNS - so the one path a company has to license this commercially reached nobody. A vulnerability form could not stand in for it, which is why it was left until an address was decided. Two lines, the address only; nothing else in the licence text was touched. --- LICENSE.md | 2 +- README.md | 2 +- 2 files changed, 2 insertions(+), 2 deletions(-) diff --git a/LICENSE.md b/LICENSE.md index cc47b28..589b833 100644 --- a/LICENSE.md +++ b/LICENSE.md @@ -21,7 +21,7 @@ whether standalone or as the principal value of a larger offering. **Change License:** MIT For information about alternative licensing arrangements for the Licensed -Work, please contact fale@phpay.io. +Work, please contact mariolucasdev@gmail.com. --- diff --git a/README.md b/README.md index e30e20f..102a5a3 100644 --- a/README.md +++ b/README.md @@ -332,7 +332,7 @@ versão converte no máximo quatro anos após ser publicada. > MIT** — uma licença nova não é retroativa. O texto está preservado em > [LICENSE-MIT.md](./LICENSE-MIT.md). -Precisa de termos diferentes? Escreva para [fale@phpay.io](mailto:fale@phpay.io). +Precisa de termos diferentes? Escreva para [mariolucasdev@gmail.com](mailto:mariolucasdev@gmail.com). ---