sec-policy - SECURITY.md definieren und prüfen

Die Richtlinie legt fest, was in diesem Repo als Schwachstelle zählt. sec-triage stuft Funde gegen sie ein (Vertrag sec-scan/references/contract.md §2: triaged = Severity und Priorität gegen die Richtlinie entschieden). Ohne Richtlinie rät die Triage.

Inhalt einer SECURITY.md

Abschnitt	Frage, die er beantwortet
Unterstützte Versionen	welche Versionen bekommen Sicherheitsfixes?
Geltungsbereich	welche Komponenten, Schnittstellen, Deployments sind gemeint?
Ausgeschlossen	was gilt ausdrücklich nicht (Testcode, Beispiele, bekannte Einschränkungen, Angriffe die Zugriff auf das Host-System voraussetzen)?
Verlangte Sicherheitseigenschaften	was muss das Projekt garantieren (z. B. "keine Secrets im Repo", "Eingaben aus Netzwerk werden validiert", "Plugins laufen ohne Dateizugriff außerhalb X")? Daran misst die Triage.
Meldeweg	wohin melden: Platzhalter `<security-contact>`; oder GitHubs privates Melden von Schwachstellen, falls im Repo aktiviert. Keine Adresse erfinden.
Reaktionszeiten	Bestätigung, Einschätzung, Fix-Ziel - Werte vom Maintainer, nicht vom Skill; Vorschläge als solche kennzeichnen.
Offenlegung	koordiniert, Fristen vom Maintainer; Verweis auf `sec-writeup`.