バグバウンティープログラム

Capgo is committed to security and transparency. All our code is open source, and we welcome security researchers to help us identify vulnerabilities in our codebase.

Open Source Code

Every repository in the Capgo organization is open source. You can review, audit, and contribute to our code.

GitHub Organization: github.com/Cap-go

有効な報告の要件

Bug Bounty プログラムに参加するには、次の要件をすべて満たす必要があります。

• 脆弱性が存在する GitHub リポジトリの正確なファイルと行番号を特定する必要があります。
• 報告は GitHub セキュリティ アドバイザリにのみ提出する必要があります。
• 脆弱性とその潜在的な影響について明確な説明を含める必要があります。
• 問題を示す再現可能なステップを提供する必要があります。

対応時間と敬意

私たちは親切ですが、時間を尊重しない人々と協力することはできません。報告を提出する際は、落ち着いた口調で、プログラムのルールを守ってください。

• 24-72 時間以内にセキュリティレポートや侵害に対応します。
• 日内に 3 つ以上のメールを送信しないでください。3 つ以上のメールを送信するとブロックされます。
• これらの規則を無視したり、スパムであると判断したレポートに対しては支払いを行いません。
• このバグバウティープログラムに従ったインスコープのレポートのみを受け付けます。インスコープ以外のレポートはブロックされる可能性があります。
• ステータス更新の質問など、確認が完了した後も「確認してみたか？」などの質問はしないでください。確認が完了した後も、問題の解決には時間がかかり、プルリクエストの準備には数日かかる可能性があります。

レポート方法

1. GitHub の関連リポジトリに移動してください。
2. セキュリティタブをクリックしてください。
3. 脆弱性を報告するには、セキュリティアドバイザリを作成してください。
4. 脆弱性が存在するファイルパスと行番号を正確に記載してください。
5. 脆弱性の再現方法を詳細に記載し、セキュリティの影響を説明してください。

範囲外

• Reports without exact code line references in GitHub
• GitHub のセキュリティアドバイザリを通じて報告されていない報告
• 実証が存在しない理論的な脆弱性
• Capgo が直接修正できない第三者プラットフォーム、依存関係、サービス内のバグ (例えば、Supabase への報告を行ってください)。
• 社会工学的攻撃やフィッシング攻撃
• サービス拒否攻撃
• SSRF または DNS スポッフの報告は、ウェブフックやウェブサイトのプレビューに対して行われます。これらの機能はサーバーレスインフラストラクチャ上で実行され、プライベート Capgo インフラストラクチャにアクセスすることはできません。したがって、環境内では利用可能ではありません。
• User-owned application code or project configuration that Capgo does not own, ship, or control, including files such as capacitor.config.ts, config.capacitor.ts, app source code, and environment-specific settings.
• Capgo バンドルファイルへのアクセスまたはバンドルファイルがダウンロードできることを証明するもの。バンドルファイルはパブリックウェブアセットであり、ユーザーはこれを知っており、そこへのアクセスはデータ漏洩と見なされない。

Supabaseと第三者サービス

Supabaseプラットフォームまたはサービスに関するバグの場合は、Supabaseに報告してください。 Capgo に報告しないでください。 Capgo が作成したまたは選択した脆弱性のロジック、SQL、RPC、RLSポリシー、エッジ関数、または構成がプロジェクトで修正できる場合は、スコープ内です。Supabaseがエンドポイントを提供している場合でも。

例

既知のSupabase Auth制限事項（既に報告済み）

Some findings are repeatedly reported and are caused by Supabase Auth defaults or platform behavior rather than Capgo code. We review these only when they can be reproduced in a shared Supabase demo project configured like ours and when the fix is a Supabase-side configuration change that does not require changing Capgo security rules. If the fix requires changing Capgo-owned SQL, RPCs, RLS policies, functions, or app logic, report it to us because that is in scope.

• 再現可能なケースを提供し、正確な修正を特定してください。 または、Supabaseの設定/構成変更がSupabaseの動作問題を解決する場合、またはCapgoが所有するcode/構成オブジェクトが変更する必要がある場合
• メール確認の動作は、Supabase Authプロジェクトの設定に従って期待されます (例えば、メール確認が無効で、キャプチャベースの認証が使用されている場合)。
• パスワード更新とアカウント復元フローは、Supabase Authが構成されている場合には常に古いパスワードの再入力または再確認が必要ではない場合があります。
• 問題がこのリストに含まれている場合でも、提供されたプロジェクトでコンクリートなSupabase側の修正を示すことができ、またはコンクリートなCapgo所有のセキュリティ欠陥を示すことができれば、範囲内と考慮できます。

For questions about our Bug Bounty program, please reach out through our GitHub Security Advisories.