開示ポリシー

このページでは、私が他者へ問題を報告する場合と、私が管理するプロジェクトについて報告を受ける場合の双方について、セキュリティ研究の取り扱い方を説明します。目的は単純で、関係するすべての方を公正かつ適法に扱いながら、実在する問題を修正へつなげることです。

私に脆弱性を報告する

私が管理または運用しているプロジェクトにセキュリティ上の問題を発見されたと思われる場合は、 security@mail.mcpsec.dev までメールをお送りください。次の内容を含めていただけると助かります。

問題の説明と、想定される影響。
再現手順、または実証コード。
影響を受けるバージョン、URL、コンポーネント。

報告には数営業日以内に受領のご連絡をするよう努めています。公表の前に、調査と修正のための合理的な機会をいただけますようお願いいたします。また、調査にあたってご自身のものでないデータへのアクセス、改変、破壊は行わないでください。

ベンダーやメンテナーへの開示の方法

他者のソフトウェアに脆弱性を発見した場合は、協調的な開示に従います。

メンテナーまたはベンダーへ、技術的な詳細と修正の指針を非公開でご連絡します。
修正の開発とリリースのために合理的な期間（通常は最大 90 日）をお待ちします。メンテナーが誠実に対応してくださっている場合は、柔軟に調整します。
修正が利用可能になった時点、または開示期間が終了した時点でアドバイザリーを公開し、他の方々が問題を理解して防御できるようにします。

影響を受けるサイト運営者への通知の方法

脆弱性のなかには、インターネットに公開された多数のインストールに影響するものがあります。その場合、サイトが脆弱またはサポート終了のコンポーネントで動作しているように見えることを、運営者の方へ個別にお知らせすることがあります。いずれの場合も次のとおりです。

依拠するのは、サイトがすでに提供している公開情報（バージョンマニフェストなど）のみです。
脆弱性の悪用、非公開データへのアクセス、不正なアクセスの試みは行いません。
通知では、何を確認しどう修正するかを説明したこのサイトのページをご案内します。サイト運営者の方へをご覧ください。

決して行わないこと

金銭、パスワード、認証情報、システムへのアクセス権を求めること。
圧力をかけること、あるいは情報を公表すると脅すこと。
自分のものでないデータへアクセスし、改変し、持ち出すこと。

プライバシー

セキュリティとプライバシーは重要なものと考えています。報告の一環として共有いただいた情報は、問題の調査と修正のためにのみ使用し、無関係な目的で販売または共有することはありません。