セキュリティ問題の報告
脆弱性報告の送り先、お願いしたいこと、そして正直にお約束できることをまとめています。
この通知は未完成です。この環境では運営者の名称・住所・連絡先が設定されていません。
報告の方法
[email protected] までメールをお送りください。見つけた内容、再現手順、攻撃者に何ができるかをご記載ください。短い実証のほうが、スキャナーの出力より価値があります。
小さなことでも、知らないままより伺えるほうが助かります。該当するか迷う場合も、そのままお送りください。
お願いしたいこと
稼働中のサービスに対して自動スキャンや負荷試験を行わないでください。事前にご連絡ください。安全な場所をご案内します。他の方の文書やアカウントにアクセスしたり、変更したり、保持したりしないでください。他人のデータに到達できた場合は、そこで手を止め、どのようにそこまで至ったかをお知らせください。
公表の前に、修正のための妥当な時間をください。修正できましたらご連絡します。その後に記事にしていただくのは歓迎します。
当方が持っていないもの
本サービスはセキュリティ認証を一切保有していません。ISO 27001 の認証も、SOC 2 報告書も、外部監査もありません。裏づけなくそうしたバッジを掲げるサイトは、閲覧者を誤解させています。黙って別の印象を与えるより、はっきり申し上げます。
代わりにあるのは、書かれていて検証できるものです。プロジェクトの SECURITY.md にあるセキュリティモデル、いずれのエンジンが開く前に行うアップロードの検査、決まった期限での文書の削除、そして表明した保護が成り立たなくなった時点でビルドを失敗させるテスト群です。