バグやセキュリティ脆弱性の報告方法

セキュリティ上の脆弱性を発見された場合は、責任ある方法での開示にご協力いただきありがとうございます。

問題の範囲を把握し、懸念事項に完全に対処できるよう連携いたします。脆弱性の発見やセキュリティインシデントの報告については、security@ifixit.com までメールでご連絡ください。発見した問題の詳細な概要を記載してください。詳細な情報が必要になった場合に備え、連絡可能なメールアドレスを必ず含めてください。

開示の際は、ユーザーのプライバシーとデータに対して誠実に行動してください。脆弱性のテストを行う際は、人気の高い公開修理ガイドへのテストコードの挿入は行わないでください。これらの修理ガイドは毎日数千人に利用されており、脆弱性テストによってその体験を阻害することは有害です（必ず新しい修理ガイドを作成してください）。適切に行動していただければ、研究者やアカウントに対して法的または行政的な措置は取りません。ホワイトハッカーの皆様による調査を歓迎いたします。

有効なセキュリティ脆弱性を報告された方には、報酬を提供いたします。クレジットおよび報酬の対象となるには、以下の条件を満たす必要があります：

• バグを最初に責任を持って開示された方であること。
• ユーザーの個人データを侵害したり、システムの保護を回避したり、インフラ内のシステムへのアクセスを可能にするようなバグを報告すること。

報告してください：

• 持続的クロスサイトスクリプティング（XSS）
• クロスサイトリクエストフォージェリ（CSRF/XSRF）
• 認証の不備
• フレームワークのプライバシーおよび権限モデルの回避
• リモートコード実行

報告しないでください：

• 既知の脆弱性がないWordpressの旧バージョン
• ユーザー名の列挙
• 自己XSS
• DNS SPFレコードの欠如

iFixitのセキュリティチームが各バグを評価し、対象となるかを判断します。報告に対しては迅速な対応を心がけております。3営業日以内の返信を目指していますが、調査に時間がかかる場合もあります。返信は営業時間内（平日9時～17時（PST）、休日を除く）のみとなります。繰り返しメールを送信されても、返信が早くなることはありません。むしろ報告がキューの末尾に回される可能性があります。