セキュリティ方針

報告窓口の現状

現在、監視している脆弱性報告の受付窓口がありません。/.well-known/security.txt にも、連絡先が未確定であることを明記しています。

窓口がないことは、無断でのテストを許容する意味ではありません。このサイトに対する脆弱性スキャン、負荷試験、認証試行は行わないでください。窓口を用意した段階で、このページと security.txt の両方を更新します。

注意報告窓口は準備中です。連絡先が未確定であることを、テストの許可と解釈しないでください。

公開サイトの現状と予定

実装済みのものと、これから適用するものを分けて記載します。実態より進んだ状態は書きません。

環境の分離

検証環境は用途ごとに分離します。特に意図的に脆弱なアプリケーションは、公開サイトと同じ基盤に置きません。

• 公開サイトと検証用CMSでデータベースを共有しない
• 公開サイトと脆弱性ラボでCookie・認証情報を共有しない
• 脆弱性ラボはローカルのDocker環境に限定する
• 遠隔利用時のみ認証付きトンネルを一時的に開く
• 脆弱性ラボに実データを投入しない

検証用コンテンツについて

/lab/ 配下には、意図的に品質を落としたページが含まれます。これは分析ツールの検出能力を測るためのものであり、脆弱性を含むアプリケーションではありません。動的処理、認証、データ保存を伴わない静的なHTMLです。