[legal_disclosure]脆弱性開示ポリシー
何か見つかりましたか。 窓口を開いています。
私たち自身がペネトレーションテスターです。当社のサービスに欠陥を見つけてくださる方に敬意を持っています。安全な窓口、実効性のある応答期限、そして範囲内で行動された研究者への公開クレジットを用意しています。
// 公式窓口
contato@basilisk.com.br
PGP フィンガープリント： A4B2 9E3C 7F10 D8E4 4F55 · 6C1A 98D2 0B73 EE21 3AAF
受付から対応までの流れ
検証できる応答期限01
暗号化しての送信
公開している PGP 鍵か、/contato の暗号化フォームをご利用ください。再現手順、証跡、確認された影響を添えてください。
02
48 営業時間以内に受領連絡
社内の受付番号とともに受領をお知らせします。技術的な選別を開始する際にもご連絡します。
03
選別と修正
深刻度は CVSS で分類します。重大は 72 時間以内に緊急修正、高は 2 週間以内、中は 30 日以内に対応します。
04
謝意の表明
ご同意いただければ、公開の謝辞欄にお名前を掲載します。金銭の報奨はお支払いしていませんが、ノベルティと正式な技術的推薦をご用意できます。
対象範囲
// ok対象
- ▸basilisk.com.br および公開サブドメイン
- ▸お問い合わせフォームと、文書化された公開 API
- ▸技術的な脆弱性：RCE、SQLi、XSS、SSRF、IDOR、認証の不備、ロジックの不備
// out対象外
- ✕お客様の資産およびインフラ（当該のお客様へ直接ご連絡ください）
- ✕サービス妨害攻撃（DoS/DDoS）
- ✕従業員、取引先、お客様に対するソーシャルエンジニアリング
- ✕オフィスの物理的セキュリティ
- ✕第三者サービスへの攻撃
- ✕Self-XSS、影響のないクリックジャッキング、悪用経路のないヘッダー不足
研究者の方へのお願い
- 01欠陥を示すために必要な範囲だけを調べてください。立証に必要な範囲を超えて、データへアクセス・変更・持ち出しをしないでください。
- 02サービスの品質を落とす行為や、異常な負荷を生む検証は行わないでください。
- 03修正が本番に反映され、双方の合意で公開制限が解除されるまでは、公表しないでください。
- 04第三者の機微なデータに行き当たった場合は、直ちに中止してご連絡ください。
- 05これらの規則の範囲内で誠実に行動された研究者に対し、Basilisk が法的措置を取ることはありません。
// 謝辞
ご協力くださった研究者の皆さま
ご本人の同意を得たうえで掲載します。新しいお名前は、修正が本番に反映されてから追加します。
>_ 最初の公開報告をお待ちしています