Shipcue のセキュリティ
脆弱性の報告方法と、報告後の対応についてご案内します。
ドラフト版。このポリシーは、Shipcue のリリース前に変更される可能性があります。最終更新日: 。
脆弱性の報告
security@shipcue.app にメールでご連絡ください。次の内容を含めてください。
- 見つけた内容と場所(アプリのバージョン、エンドポイント、画面)
- 再現手順
- 想定される影響
APIキー(.p8 ファイル)、トークン、その他の機密情報は、ご自身のものであっても決して送らないでください。スクリーンショットやログからは伏せてください。
お約束すること
- 5 営業日以内に返信します。
- 問題の修正中は経過をお知らせし、修正が完了したらお伝えします。
- ご希望があれば、修正の公表時にあなたのお名前を掲載します。
- このポリシーに沿った善意のセキュリティ調査に対して、法的措置はとりません。
お願い
- テストは、ご自身のアカウント、キー、アプリでのみ行ってください。
- 他の人のデータにアクセスしたり、変更したり、削除したりしないでください。誤って到達してしまった場合は、作業を止めてお知らせください。
- 当社や当社のユーザーに対して、サービス拒否(DoS)テスト、スパム、ソーシャルエンジニアリングを行わないでください。
- 公表する前に、修正のための妥当な時間をください(90 日を目安としています)。
対象範囲
- Shipcue の iPhone / iPad アプリ
- shipcue.app 配下の当社サーバーのエンドポイント
Apple のサービス(App Store Connect、APNs)と RevenueCat は対象外です。これらの問題は各社へご報告ください。
フィッシング
Shipcue が通知の中で APIキー、パスワード、ログインを求めることはなく、通知に外部リンクが含まれることもありません。そのような通知を受け取った場合は、security@shipcue.app へ転送してください。