脆弱性の責任ある開示

• その問題が発生する手順を、明確かつ完全で、再現可能な形で提示してください。

• 影響を実証するために連鎖的な脆弱性の組み合わせが必要な場合を除き、1件のレポートにつき1つの脆弱性を報告してください。

• 重複した報告は、最初に受け付けた有効な提出内容に基づいて優先順位が付けられます。

• by には複数の脆弱性が存在しますが、単一の根本的な問題については1件の報告として扱われます。

• ソーシャルエンジニアリング（フィッシング、ヴィッシング、スミッシングなど）は禁止されています。

• 誠実に行動してください。プライバシーの侵害、データの破壊、サービスの停止を避けてください。テストは、ご自身が所有しているアカウント、または使用について明示的な許可を得ているアカウントに対してのみ行ってください。

脆弱性を報告する際は、悪用可能性とセキュリティへの影響の両方を考慮してください。以下の事項は対象外となります：

• 機密性の高い操作が行われないページにおけるクリックジャッキング。

• 認証されていないフォーム、または機密性の高い操作を含まないフォームにおけるクロスサイトリクエストフォージェリー（CSRF）。

• 中間者攻撃（MITM）の立場に立つこと、またはユーザーのデバイスへの物理的なアクセスを必要とする攻撃。

• 実証コード（PoC）が存在しない、既知の脆弱性を持つライブラリに関する報告。

• カンマ区切り値（CSV）インジェクション。ただし、悪用が可能であることは実証されていない。

• SSL/TLS のベストプラクティスに基づく設定が欠落しています。

• サービスの可用性を損なうおそれのあるあらゆる活動（DoS攻撃を含む）。

• 有効な攻撃経路がなく、HTML/CSS を変更する能力もない状態でのコンテンツの偽装やテキストの挿入。

• 認証を必要としないエンドポイントにおけるレート制限やブルートフォース攻撃に関する懸念。

• コンテンツセキュリティポリシー（CSP）のベストプラクティスが欠落しています。

• クッキーに HttpOnly または Secure フラグが設定されていません。

• メール設定におけるベストプラクティスに関する問題（例：SPF、DKIM、DMARCレコードの不備や欠落など）

• 古いブラウザやパッチが適用されていないブラウザ（安定版が2バージョン以上古いもの）にのみ影響する問題。

• ソフトウェアのバージョン情報、バナーによる識別情報、または説明的なエラーメッセージやヘッダー（スタックトレース、アプリケーションエラー、サーバーエラーなど）。

• タブナビング。

• セキュリティ上の影響が追加で確認されていないオープンリダイレクト。

• ユーザー との連携が、現実的ではない、あるいは極めて非現実的となるような問題。