セキュリティポリシー
連絡先: https://github.com/Cap-go/capgo/security/advisories/new
Canonical: https://capgo.app/security.txt
At Capgo, we consider the security of our systems a top priority. However, no matter how much effort we put into system security, there can still be vulnerabilities present.
脆弱性を発見した場合、できるだけ早く対処できるように、ご協力いただけるでしょうか。私たちのクライアントやシステムをよりよく保護するために、ご協力いただけるでしょうか。
脆弱性の範囲外の脆弱性:
- クリックジャッキングが行われないページに存在する操作
- 未認証/ログアウト/ログインのCSRF
- ユーザーのデバイスへの物理的アクセスやMITM攻撃が必要な攻撃
- 社会的エンジニアリングが必要な攻撃
- サービス障害 (DoS) による活動
- コンテンツの偽装やテキストの挿入に関する問題
- メールの偽装
- DNSSEC、CAA、CSP ヘッダーの欠如
- 非機密性の Cookie に Secure または HTTP only フラグの欠如
- 死リンク
- ユーザー情報の漏洩
- SSRF or DNS spoofing reports against webhooks or website preview. These features run on serverless infrastructure and cannot be used to reach private Capgo infrastructure, so they are not exploitable in our environment.
- User-owned application code or project configuration that Capgo does not own, ship, or control, including files such as capacitor.config.ts, config.capacitor.ts, app source code, and environment-specific settings.
- Access to Capgo bundle files or proof that bundle files can be downloaded. Bundle files are public web assets, users are informed of this, and access to them is not considered a data breach.
ユーザー所有のアプリケーションまたはプロジェクトの設定
Some findings are repeatedly reported and tied to Supabase Auth behavior. These are only treated as Supabase-side issues when they can be reproduced in a shared Supabase demo project configured like ours and when a Supabase configuration change fixes the behavior without changing Capgo security rules. If the fix requires changing Capgo-owned SQL, RPCs, RLS policies, functions, or app logic, that is a Capgo issue and should be reported to us.
- Reports must include a reproducible demo Supabase project, with steps, that matches our settings and demonstrates the behavior.
- Reports must include the exact fix path: either the Supabase setting/config change that resolves the behavior, or the Capgo-owned code/config object that must change.
- Account/email flows are validated against the Supabase project settings (for example, whether email verification is disabled and capture flow is used).
- Password and email/password update flows may depend on current Supabase Auth session and re-verification settings.
- If a demo project proves a concrete Supabase-side fix with no Capgo policy change, or shows a concrete Capgo-owned defect, we review it as actionable.
Testing guidelines:
- Do not run automated scanners on other customer projects. Running automated scanners can run up costs for our users. Aggressively configured scanners might inadvertently disrupt services, exploit vulnerabilities, lead to system instability or breaches and violate Terms of Service from our upstream providers. Our own security systems won't be able to distinguish hostile reconnaissance from whitehat research. If you wish to run an automated scanner, notify us at security@capgo.app and only run it on your own Capgo project. Do NOT attack projects of other customers.
- 脆弱性や問題を発見した場合、その脆弱性を示すために必要以上のデータをダウンロードしたり、他人のデータを削除したり変更したりしてはなりません。
セキュリティ報告ガイドライン
- Submit your findings through our GitHub Security Advisory:: https://github.com/Cap-go/capgo/security/advisories/new
- 問題が解決できるように、できるだけ多くの情報を提供してください。
- Capgoは、Capgo プラグインに対してセキュリティレポートを受け付けてレビューしますが、プラグイン code の有料バウンティは、@capgo/capacitor-アップデーターに制限されています。 その他の Capgo プラグインは、有料製品の範囲外であるため、無料で使用できます。 したがって、報告はレビューされますが、支払いはされません。
安全情報開示ガイドライン
- お客様を守るために、問題を他の人に明らかにしないでください。私たちは問題を調査し、対処し、お客様に知らせるまでに時間を取る必要があります。
-
研究結果を Capgo についての会議、ブログ、またはその他の公のフォーラムで公開したい場合は、公表予定日から少なくとも30日前までに、レビューと承認のために私たちにドラフトを共有してください。以下の情報は含めるべきではありません。
- Capgo の顧客プロジェクトに関連するデータ
- Capgo の顧客データ
- Information about Capgo employees, contractors or partners
保証するもの
- 報告を受けた場合、7営業日以内に報告の評価と解決の予定日を含む回答を提供します。
- 報告の指示を遵守している場合、報告に関してはあなたに対して法的措置をとることはありません。
- あなたの報告は厳密に機密扱いとなり、第三者にあなたの個人情報を提供することはあなたの許可なしにありません。
- 問題の解決に向けての進捗状況についてはあなたに情報を提供します。
- 問題の報告に関する公の情報において、問題の発見者としてあなたの名前を明らかにします (あなたがそう望まない場合を除きます)。
- 共有されたログに漏れたデータが存在する場合、問題の修正に使用されるデバッグ情報として扱います。報復や復讐の理由にはなりません。
問題を解決するにはできるだけ早く取り組み、問題が解決された後、最終的な問題の公開に積極的に参加したいと考えています。