1. 脆弱性の報告
非公開のセキュリティ報告窓口を使用し、件名をSecurity report: [製品名]としてください。対象製品とバージョン、想定される影響、安全な再現手順、顧客データへの影響の有無を記載してください。公開の課題として投稿せず、認証情報、アクセストークン、非公開の識別子、顧客の機密情報、実際の顧客データを含めないでください。機微な証拠が必要な場合は、より安全な方法を調整します。
2. テストの条件
ご自身が所有する、または明示的にテストを許可されたアカウント、サイト、プロジェクト、ワークスペース、データのみを使用してください。テストは必要な範囲に限定し、アクセス、変更、保持を最小限にしてください。他者のデータに遭遇した場合や意図しないアクセスを得た場合は、直ちに中止して非公開で報告してください。
書面による許可なく、サービス拒否・負荷テスト、ソーシャルエンジニアリング、フィッシング、マルウェア配布、物理攻撃、認証情報への攻撃、破壊的テスト、プライバシー侵害、データ持ち出し、顧客の本番環境に対するテストを行わないでください。提供者が調査と是正を行う合理的な機会を得る前に、疑いのある問題を公開しないでください。本ガイドラインは、違法な行為または適用される契約で禁止された行為を許可するものではありません。
3. 共通のセキュリティ方針
- 機能の提供に必要な最小限の権限とデータのみを使用します。
- 合理的に可能な場合はプラットフォーム内または自ら管理する処理を優先し、必要に応じてホスティング、外部接続、サービス提供者を開示します。
- 認証情報と顧客の機密情報を、運用ログや通常のサポート連絡に含めないようにします。
- 製品とそのリスクに応じて、依存関係の固定、自動検証、コードレビュー、リリース確認を行います。
- 信頼できる報告を調査し、重大度、実現可能性、契約上・プラットフォーム上の義務に応じて修正または軽減策を提供します。
製品ドキュメントに別段の記載がない限り、公式な提供経路から取得した対応対象バージョンのみが対象です。
4. 対応と是正
報告は主として日本の営業日に、日本語で合理的に可能な範囲で確認します。受領確認、追加情報の依頼、再現、重大度評価、修正または軽減策の準備、公開時期の調整を行う場合があります。セキュリティとデータ完全性に関するリスクを可能な限り優先しますが、受領確認、修正、公開、復旧、情報開示の期限は保証しません。製品ドキュメントに法的拘束力のない目標を記載する場合があります。
テスト開始前に書面で合意した場合を除き、金銭的なバグ報奨金制度はありません。報告の提出により、契約、雇用関係、支払請求権、氏名掲載義務が生じるものではありません。
5. セキュリティ上の制限
ソフトウェア、ホスティング、通信、保存のいずれも完全な安全性を保証できません。本ポリシーは、認証、監査報告、保証、保険、セーフハーバーの約束、または特定の信頼・報奨金・認証プログラムへの参加表明ではありません。サービスの利用には利用規約が適用されます。