セキュリティはSnippをすべての人にとって安全に保つための中核であり、私たちは脆弱性を素早く発見して修正するために研究者の協力に頼っています。セキュリティ上の問題を発見した場合は、ぜひ教えてください。すべての責任ある開示に感謝しています。良い狩りを！
誠実に脆弱性を報告し、このページのガイドラインに従う方に対して、私たちは決して法的措置を取ることはありません。
私たちはすべての報告を48時間以内に確認することを目指しており、解決プロセスを通じて状況をお知らせします。
発見の深刻度と影響に応じて、限定プロフィールバッジやPLUSサブスクリプションの無料月数を受け取る資格が得られる場合があります。
Snippのセキュリティに有意義な貢献をした研究者は、アカウント上に公開表示されるプロフィールバッジを獲得できます。
最初の有効な脆弱性報告に対して授与されます。Snippをより安全にするのに貢献する研究者を称えます。
3〜5件の優れた報告、または1件の重大な発見の後に授与されます。最も影響の大きい問題を発見する活発な研究者に限定されています。
すべてのテストはご自身のアカウントで行う必要があります。他のユーザーのデータやアカウントに干渉したり影響を与えたりしないでください。
Snippが運営するサービスのみが対象範囲です。当社のAPIを介して統合されているものであっても、サードパーティのプラットフォームを対象とした報告は受け付けられません。
当社のサービスを低下させたり、データの整合性を損なったりする可能性のある活動は避けてください。これにはブルートフォース、DoS、スパム、タイミングベースの攻撃が含まれます。
自動スキャンツールの使用は許可されていません。すべてのテストは手動で行ってください。
特定の脆弱性クラスを内部で対処している間、一時的に対象範囲から除外する場合があります。変更があればこのページに反映されます。
問題を完全に調査し解決するまで、すべての発見を機密に保ってください。
責任ある開示は、リスクを最小限に抑えながら問題を素早く修正するのを助ける最善の方法です。直接ご報告いただければ、脆弱性を悪意ある者にさらすことなく、すぐに修正に取りかかることができます。
私たちが対処する機会を得る前に、ソーシャルメディア、フォーラム、その他どこであっても公開された発見は、バッジ認定の対象にはなりません。私たちは、最初に修正する機会を与えてくれる人々を称えたいと考えています。
複数の人が同じ問題を報告した場合、以下に基づいて提出を評価します：
技術的な説明の明確さ
報告が現実世界への影響をどれだけうまく伝えているか
提出のタイムスタンプ
報告では、現実的な影響を実証する必要があります。CVSSスコアのみで、攻撃者が実際に何を得られるかを示す実用的な概念実証が伴わない場合は、情報提供として扱われ、報奨の対象にはなりません。
Snippをより安全にするために時間を割いてくれるすべての研究者に、心から感謝しています。
一部のデータは意図的に公開されています。すでに公開ページに表示されている情報は機密ではなく、サイト、APIエンドポイント、またはログアウト状態のいずれを通じて閲覧しても、脆弱性には該当しません。データ漏えいを報告する前に、同じデータがすでに公開されていないかを確認してください。以下は設計上公開されているものです。
ユーザーの公開ページに表示されるプロフィール情報。ユーザー名、表示名、アバター、バナー、自己紹介、リンクされたソーシャルアカウント、登録日、フォロワー数およびフォロー数。
プロフィールのバッジおよびその背後にあるステータス。スタッフ、パートナー、バグハンター、翻訳者、認証済み、サポーターを含みます。これらはバッジとして公開表示されます。
公開または限定公開の投稿に関する情報。タイトル、説明、メディア、閲覧数、アップロード日。
閲覧者自身のセッションのみを反映する、閲覧者相対のフラグ。プロフィールが自分のものであるか、特定のユーザーをフォローしているか、自分とそのユーザーの間にブロックが存在するかなどです。これらはデータに対するあなたの関係性を示すものであり、他人の非公開情報ではありません。
提出する前に、その問題に現実的な攻撃シナリオと有意義なセキュリティ上の影響があるかどうかを考えてください。以下は一般的に除外されます：
設計上すでに公開されているデータ（上記のセクションを参照）の開示。プロフィール項目、バッジ、投稿メタデータ、閲覧者相対のフラグを含みます
クライアント側の検証のみに基づく報告。セキュリティチェックはサーバー側で適用されるため、サーバーが同じ入力を拒否する場合、クライアント側のチェックが欠けていても脆弱性には該当しません
アップロード時のファイルタイプ、MIME、または拡張子の処理。アップロードされたファイルはサーバー側で実際の内容に基づいて検証され、保存されるタイプがクライアントから取得されることはありません
オリジンIPアドレス、インフラプロバイダー、またはプロキシ未経由のサブドメインの開示。アップロードエンドポイントなど一部のサービスは、意図的にCDNの外部で提供され、オリジンで堅牢化されています
稼働中のインフラを指し示さなくなった、古いまたは過去のDNSレコード
CSP、HSTS、X-Frame-Optionsなどのセキュリティヘッダーの欠如または設定ミスで、実用的な悪用が実証されていないもの
冗長なエラーメッセージ、スタックトレース、またはソフトウェアのバージョン開示で、実用的な悪用が実証されていないもの
識別子による有効なリソースの列挙、または無効な識別子に対する4xxおよび5xxレスポンス。無効なリクエストに対してnot-foundステータスを返すことは想定された動作です
アカウントの列挙
MITMやユーザーのデバイスへの物理的アクセスを必要とする攻撃
クリックジャッキング
コンテンツのなりすましとテキストインジェクション
CSRFの脆弱性
メールのSPF、DKIM、DMARCレコード
HttpOnly/Secure Cookieフラグの欠如
オープンなCORSヘッダー
レート制限
スキャナーや自動ツールからの報告
自己エクスプロイト（トークンの再利用やコンソールスクリプティングなど）
ユーザーやスタッフを標的としたソーシャルエンジニアリングやフィッシング攻撃
外部サービス、パートナー、統合はこのプログラムの対象範囲外です。Snippが所有する機能とAPIの脆弱性のみが対象となります。報告はSnipp自体への明確なセキュリティ上の影響を示す必要があります。
ソーシャルエンジニアリングに頼ることなく、攻撃者が他のユーザーのAPIキー、セッショントークン、認証情報を取得できるシナリオはすべて対象範囲内と見なされます。
細工された入力や通常のユーザー操作によって引き起こされる再現可能なウェブサイトのクラッシュは、リソース枯渇、スパム、その他のサービス妨害手法に依存しない限り、対象範囲内と見なされます。
競合状態の悪用に依存する報告は、受理されるために追加の証拠が必要です。以下のうち少なくとも1つを含めてください：
再現可能なスクリプト（PythonまたはJavaScriptが望ましいですが、他の言語でも構いません）
条件をトリガーするために必要なHTTPメソッド、エンドポイント、正確なリクエストの順序を網羅した詳細な説明
スクリプトを含めると、問題の検証がはるかに容易になり、レビュープロセスが速くなります。