メインコンテンツへスキップ

セキュリティポリシー

お問い合わせ: https://github.com/Cap-go/capgo.app/security/advisories/new
正規URL: https://capgo.app/security/
Security.txt: https://capgo.app/.well-known/security.txt (/security.txt)

Capgo では、システムのセキュリティを最優先事項と考えています。しかし、どれほどセキュリティ対策に注力したとしても、脆弱性が存在する可能性は常にあります。

脆弱性を発見された場合は、迅速に対処できるよう、ぜひお知らせください。クライアントと私たちのシステムをより強固に保護するため、皆様のご協力をお願いいたします。

対象外となる脆弱性:

  • 機密性の高いアクションを含まないページでのクリックジャッキング。
  • 未認証・ログアウト・ログイン時のCSRF。
  • MITM（中間者攻撃）や、ユーザーのデバイスへの物理的なアクセスを必要とする攻撃。
  • ソーシャルエンジニアリングを必要とする攻撃。
  • サービスの停止（DoS）につながる可能性のあるあらゆる活動。
  • 攻撃ベクトルを示さない、またはHTML/CSSを変更できないコンテンツスプーフィングやテキストインジェクションの問題。
  • メールスプーフィング
  • DNSSEC、CAA、CSPヘッダーの欠如
  • 機密性の低いCookieにおけるSecureまたはHttpOnlyフラグの欠如
  • リンク切れ
  • ユーザー列挙
  • webhookやウェブサイトプレビューに対するSSRFやDNSスプーフィングの報告。これらの機能はサーバーレスインフラ上で動作しており、プライベートな Capgo インフラへの到達には使えないため、当社の環境では悪用できません。
  • ユーザーが所有するアプリケーションの code やプロジェクト設定で、Capgo が所有・提供・管理していないもの。capacitor.config.ts、config.capacitor.ts、アプリのソースコード code、環境固有の設定などのファイルが含まれます。
  • Capgo のbundleファイルへのアクセス、またはbundleファイルがダウンロード可能であることの証明。bundleファイルは公開されたWebアセットであり、その旨はユーザーに周知されているため、アクセスはデータ漏洩とはみなされません。
  • 設計上意図的に公開されている、認証不要の Capgo プラグインや API エンドポイント（API キーを必要としないchannel_selfの設定やupdate/statsエンドポイントなど）は脆弱性ではありません。脆弱性として報告しないでください。
  • external_url 経由で配信される bundle の暗号化について Uploader または UI が誤って表示することは、Capgo の脆弱性には該当しません（外部でホストされている bundle の暗号化は Capgo の制御外です）。

Supabase Authの既知の制限事項

一部の指摘事項は繰り返し報告されており、Supabase Authの挙動に関連しています。これらがSupabase側の問題として扱われるのは、当社と同じ構成の共有Supabaseデモプロジェクトで再現可能であり、かつCapgoのセキュリティルールを変更せずにSupabaseの設定変更だけで挙動が修正される場合に限られます。修正にCapgoが所有するSQL、RPC、RLSポリシー、関数、アプリロジックの変更が必要な場合は、Capgoの問題として当社へ報告してください。

  • 報告には、当社の設定と一致し、挙動を実証する手順付きの再現可能なSupabaseデモプロジェクトを含める必要があります。
  • 報告には正確な修正パスを含めてください。つまり、挙動を解決するSupabaseの設定/構成の変更か、あるいは変更が必要なCapgo所有のcode/configオブジェクトのいずれかです。
  • アカウントやメールのフローは、Supabaseプロジェクトの設定（例：メール認証が無効化されているか、キャプチャフローが使用されているかなど）に基づいて検証されます。
  • パスワードおよびメール/パスワードの更新フローは、現在のSupabase Authセッションや再認証の設定に依存する場合があります。
  • デモプロジェクトによって、Capgoのポリシー変更なしでSupabase側の具体的な修正が可能であることが証明された場合、またはCapgoが所有する具体的な欠陥が示された場合は、対応可能な案件としてレビューを行います。

テストガイドライン:

  • 他のユーザーのプロジェクトに対して自動スキャナーを実行しないでください。自動スキャナーの実行は、ユーザーのコスト増大を招く可能性があります。また、過剰に設定されたスキャナーは、意図せずサービスを中断させたり、脆弱性を悪用したり、システムの不安定化や侵害を引き起こしたりする恐れがあり、アップストリームプロバイダーの利用規約に違反する場合があります。当社のセキュリティシステムでは、悪意のある偵察活動とホワイトハットによる調査を区別できません。自動スキャナーを実行する場合は、security@capgo.app まで通知した上で、ご自身の Capgo プロジェクトに対してのみ実行してください。他のユーザーのプロジェクトへの攻撃は厳禁です。
  • 発見した脆弱性や問題を悪用しないでください。例えば、脆弱性を証明するために必要以上のデータをダウンロードしたり、他人のデータを削除・改ざんしたりする行為は禁止されています。

報告ガイドライン:

  • GitHub Security Advisory から調査結果を送信してください： https://github.com/Cap-go/capgo.app/security/advisories/new
  • 問題を迅速に解決できるよう、再現に必要な十分な情報を提供してください。
  • 当社は Capgo プラグインに関するセキュリティレポートを受け付け、レビューを行っています。ただし、有料の code プラグインに対するバウンティ（報奨金）は @capgo/capacitor-updater. に限定されます。その他の Capgo プラグインは無料で利用可能であり、当社の有料製品には含まれないため、レポートのレビューは行いますが、報奨金は支払われません。

公開ガイドライン:

  • お客様を保護するため、当社が調査・対処を行い、影響を受けるお客様への通知を完了するまでは、問題の内容を第三者に公開しないでください。
  • カンファレンス、ブログ、またはその他の公開フォーラムで Capgo に関する調査結果を公開する場合は、公開日の少なくとも30日前までに、レビューと承認のためにドラフトを弊社まで共有してください。なお、以下の内容は含めないでください：
    • Capgo の顧客プロジェクトに関するデータ
    • Capgo の顧客データ
    • Capgo の従業員、契約社員、またはパートナーに関する情報

私たちの約束：

  • 報告を受領後、7営業日以内に報告内容の評価と解決予定日を回答いたします。
  • 上記の指示に従っている限り、当該報告に関して法的措置を講じることはありません。
  • 報告内容は厳重な機密として扱い、お客様の許可なく個人情報を第三者に開示することはありません。
  • 問題解決に向けた進捗状況を随時お知らせいたします。
  • 報告された問題に関する公開情報では、（ご希望がない限り）発見者としてお客様のお名前を記載させていただきます。
  • 共有されたログに漏洩データが含まれていた場合、それは問題解決のためのデバッグ情報として扱い、決して報復や制裁の理由にすることはありません。

私たちはすべての問題を可能な限り迅速に解決するよう努めています。また、問題解決後の最終的な公開報告においても、積極的に協力したいと考えています。