セキュリティ

1. 脆弱性の報告

2. 含めるべき内容

• 発見した内容と、それが重要である理由 — 手法だけでなく、その影響についても記載してください。
• URL、使用したアカウント、時刻を含む、正確な再現手順。
• 問題を実証するために必要な範囲に限定した概念実証(PoC)。
• 希望される場合、どのようにクレジット表記を行ってほしいか。

3. 対象範囲

• 対象外: 当社が利用しているが運営はしていない第三者のサービス — それらについては各サービス自体のプログラムに報告してください。
• 対象外: 影響が実証されていない自動スキャナーによる検出結果、ハードニング用ヘッダーの欠如のみを指摘するもの、またはレート制限が存在するという報告。
• 対象外: 当社チームまたはユーザーに対するソーシャルエンジニアリング、物理的な攻撃、および他者のサービス利用を低下させる行為。

4. 調査ルールおよびセーフハーバー

• ご自身のアカウントおよびデータのみを使用してください。他者のものにアクセスできる兆候が見られた時点で直ちに中止してください。
• データの持ち出し、改変、破壊は行わないでください — アクセスできたことを証明するスクリーンショットで十分です。
• サービス拒否攻撃、負荷テスト、スパムは行わないでください。
• 公開する前に、問題を修正するための合理的な時間を当社に与え、公開のタイミングについて当社と調整してください。

5. 当社がお約束すること

• 報告に対しては5営業日以内に受領確認を行います。
• 当社の評価および修正予定時期については10営業日以内にお伝えします。
• 修正が完了するまで随時状況をお伝えし、ご希望があればクレジット表記を行います。

6. サービスの保護方法

• 全ページでのHTTPS、HSTS、およびインラインイベントハンドラを禁止するコンテンツセキュリティポリシー(CSP)。
• パスワードは12ラウンドのbcryptでハッシュ化されており、セッションは単一のアルゴリズムに固定された署名付きJWTです。
• 認証、API、および未認証エンドポイントそれぞれに対する個別のレート制限。
• クロスドメインでのサインインには、URLにトークンを含める方式ではなく、短命かつ一度限りの認可コードを使用します。
• アップロードされたファイルはマジックバイトによって検証され、EXIF情報が除去された上で、サンドボックス化されたパスから配信されます。ファイルがドキュメントとして扱われうる箇所では、SVGは拒否されます。
• 有料アセットのファイルは公開ディレクトリの外に保存されており、それらを利用可能にするのは秘匿性ではなく支払いです。

7. データおよびプライバシーに関するインシデント