セキュリティの脆弱性を安全に報告する

製品の脆弱性はdosya.dev/bug-bountyにあるdosyaのバグ報奨金フォームから報告してください。このフォームは報告の送信先であり、トリアージに必要な項目が用意されています。security@dosya.devはプログラムに関する質問の窓口であり、脆弱性の報告先ではありません。

テストには自分のアカウント、ワークスペース、ファイル、データだけを使用してください。問題の実証に必要な最小限の証拠を得たら停止してください。他の人の内容にアクセスしたり、変更、ダウンロード、削除したりせず、破壊的なスキャンや大量のスキャンも行わないでください。

手順：役立つ報告を送信する

1. 自分のアカウント内の専用テスト項目で動作を再現し、セキュリティ上の影響が明らかになったらすぐに停止してください。
2. 影響を受けるURLまたはコンポーネント、アカウントのロール、プラットフォーム、アプリのバージョン、時刻、前提条件、再現に必要な正確な手順を記録してください。
3. コンソール出力、リクエストのトレース、スクリーンショットから、秘密情報、セッションCookie、APIキー、個人データ、無関係なファイルの内容を除いてください。
4. バグ報奨金フォームを開き、名前を入力とメールを入力して、SeverityとAffected assetを選択してください。
5. 再現手順、影響、安全な証拠を貼り付けてください。ファイルは添付しないでください。視覚的な証拠が必要な場合は、管理下にある動画または説明へのリンクを記載してください。
6. 1回だけ送信し、控えを保管してください。問題が重大で現在悪用可能な場合を除き、受付確認とトリアージの判断まで公開されている14日間を待ってください。

記載する内容

脆弱な対象と攻撃者が何を実行できるかを明記してください。期待される安全な動作と実際の結果も記載してください。リクエストが関係する場合は、機密情報を伏せたリクエストとレスポンス、HTTPメソッドとステータス、テストアカウントに属する識別子を示してください。

フォームで、Web app (app.dosya.dev)、API (api.dosya.dev)、デスクトップアプリ、モバイルアプリ、CLI、WebDAV gateway、S3-compatible gateway、SFTP、Admin portal、SDK / public repositoriesなどから、影響を受ける対象に最も近いものを選択してください。仮定の攻撃連鎖ではなく実証された影響に基づいてCritical、High、Medium、Lowを選んでください。

回答目標は14日以内の受付確認とトリアージ判断です。判断は重大度を伴う受理、重複、または理由を伴う対象外です。受理された報告は報奨金と修正の協議に進みます。開示方針の標準は90日です。公開時期はセキュリティチームと調整してください。

状況に応じて別の窓口を選ぶ

• 違法または有害な共有コンテンツは、/bug-bountyではなくdosya.dev/report-abuseから報告してください。
• セキュリティの脆弱性がないサインイン、請求、アップロード、ファイル復旧の問題はサポートに連絡してください。
• 自分のアカウントで不審なアクティビティを見つけた場合は、アカウントを保護し、サポートの調査中はセッションの証拠を保全してください。
• 対象が範囲内か不明な場合はテスト前にsecurity@dosya.devへ範囲やプログラムについて質問してください。

期待される結果

セキュリティチームが適切なフォームから、機密情報を伏せた再現可能な報告を1件受け取ります。他のユーザーの情報を露出させたりサービスを不安定にしたりせず、影響をトリアージするために十分な、範囲を限定した証拠が含まれます。

調査の境界

ソーシャルエンジニアリング、サービス拒否、クレデンシャルスタッフィング、可用性に影響する自動トラフィック、テスト後にデータを保持しようとする行為は避けてください。検証後はテストデータを削除してください。他の人の情報が予期せず表示された場合は停止し、コピーせず、報告でその境界を説明してください。

関連ガイド

• プライバシーに配慮したサポート依頼の準備
• 診断情報をサポートと安全に共有する
• 不審なアカウントアクティビティへの対応
• 保存時と転送時の暗号化