# Security Policy  
## CBT eSchool

Keamanan sistem dan perlindungan data pengguna adalah prioritas utama dalam pengembangan CBT eSchool.

Dokumen ini menjelaskan bagaimana melaporkan kerentanan keamanan dan bagaimana proses penanganannya.

---

## Versi yang Didukung

Kami hanya memberikan pembaruan keamanan untuk versi terbaru CBT eSchool.

Pastikan Anda menggunakan versi terbaru sebelum melaporkan kerentanan.

---

## Melaporkan Kerentanan

Jika Anda menemukan potensi celah keamanan, mohon:

1. Jangan membuka Issue publik di GitHub
2. Jangan menyebarkan detail eksploitasi ke publik
3. Laporkan secara bertanggung jawab kepada maintainer

Laporan sebaiknya mencakup:

- Deskripsi kerentanan
- Langkah reproduksi
- Dampak potensial
- Bukti konsep (jika ada)
- Versi sistem yang digunakan

---

## Komitmen Respons

Kami berkomitmen untuk:

- Memberikan respons awal dalam 3–5 hari kerja
- Melakukan verifikasi kerentanan
- Menyediakan patch atau perbaikan sesegera mungkin
- Menginformasikan pengguna jika diperlukan

---

## Ruang Lingkup Keamanan

Area sensitif dalam CBT eSchool meliputi:

- Autentikasi & otorisasi pengguna
- Sistem ujian dan validasi jawaban
- Database siswa dan nilai
- Upload file
- API endpoint
- Session management
- Anti-cheating mechanism

---

## Jenis Kerentanan yang Diprioritaskan

Kami sangat memperhatikan laporan terkait:

- SQL Injection
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Broken Authentication
- Privilege Escalation
- Data Exposure
- Remote Code Execution

---

## Responsible Disclosure

Kami menghargai praktik responsible disclosure.  
Setelah kerentanan diperbaiki, kami dapat memberikan kredit kepada pelapor (jika diinginkan).

---

## Pernyataan

Penyalahgunaan sistem CBT eSchool untuk eksploitasi tanpa izin dapat dianggap sebagai pelanggaran hukum.

Kami mendorong pengujian keamanan dilakukan secara etis dan bertanggung jawab.
