セキュリティポリシー

本ページでは、ato.runのセキュリティ対策および脆弱性の報告方法について説明します。

当方は、検証チェック、モデレーションのワークフロー、濫用の監視などの多層的な統制を使用しています。これらの統制はリスクを低減しますが、完全な防止を保証するものではありません。

1. 脆弱性の報告

潜在的な脆弱性を発見した場合は、再現手順、影響の詳細、影響を受けるURLまたはパッケージIDを添えてご報告ください。

報告はkohsuke@ato.runまでお送りください。連絡先はsecurity.txtでも公開しています。報告は日本語または英語で受け付けます。

対象：ato.run、api.ato.run、ato.run配下のアプリ実行オリジン、および当方が公開するAto CLIおよびランタイム。

対象外：他のユーザーが公開したソフトウェア（その公開者に報告するか、悪意がある場合は適正利用ポリシーに基づき当方へご報告ください）、サービス拒否のテスト、ソーシャルエンジニアリング、物理的な攻撃。

報告者には、緩和策が利用可能になるまで公表を控えること、不要なデータにアクセスしないこと、ユーザーまたはサービスの可用性に損害を与える行為を避けることをお願いしています。テストには、あなたが所有するか、テストの許可を得ているアカウントおよびデータのみを使用してください。

本ポリシーに従った誠実な研究に対して、当方は法的措置を講じません。

当方は、報告を確認し、トリアージを行い、封じ込め措置を適用し、是正措置の実施中は影響を受けるリスティングまたはアカウントを無効化する場合があります。当方は、進捗を報告者に伝え、法律上必要な場合、影響を受けるユーザーおよび当局に通知します。

要求される権限を慎重に確認し、最小権限でソフトウェアを実行し、利用前に公開者の信頼性および更新履歴を確認してください。

セキュリティ報告：kohsuke@ato.run またはお問い合わせ