# Security Policy / Polityka bezpieczeństwa

## Supported Versions / Wspierane wersje

| Version | Supported |
| ------- | --------- |
| latest 0.x | ✅ |
| older | ❌ |

Only the most recent release receives security fixes. / Poprawki bezpieczeństwa otrzymuje wyłącznie najnowsze wydanie.

## Reporting a Vulnerability / Zgłaszanie podatności

**Please do NOT open a public issue for security problems.**
**Prosimy NIE zgłaszać problemów bezpieczeństwa w publicznych zgłoszeniach.**

Report vulnerabilities privately by email: **contact@acez.world**
(subject line: `[SECURITY] Acez SEO`).

Please include / Prosimy dołączyć:

- plugin version and WordPress/PHP version,
- steps to reproduce (proof of concept if possible),
- the impact you believe the issue has (who can exploit it and what they gain).

## What to expect / Czego się spodziewać

- **Acknowledgement within 7 days** of your report. / Potwierdzenie odbioru w ciągu 7 dni.
- We will investigate, keep you informed, and aim to release a fix for confirmed
  issues **within 90 days** (usually much sooner). / Naprawa potwierdzonych
  podatności w ciągu maks. 90 dni (zwykle znacznie szybciej).
- Coordinated disclosure: please give us the chance to ship a fix before any
  public write-up. We will credit reporters in the changelog unless you prefer
  to stay anonymous. / Ujawnienie skoordynowane — po wydaniu poprawki; za zgodą
  zgłaszającego podziękowanie w changelogu.

There is currently no bug bounty program. / Program bug bounty obecnie nie istnieje.

## Scope notes / Zakres

- The free plugin stores AI provider API keys encrypted (libsodium, key derived
  from `AUTH_KEY`) — reports about plaintext key storage should first verify the
  actual stored option value.
- The "Custom Code" feature intentionally outputs raw user-provided code on the
  front end; saving unfiltered code requires the `unfiltered_html` capability
  (WordPress core behaviour). This is by design and not a vulnerability by itself.