メインコンテンツにジャンプ

セキュリティポリシー

連絡先: https://github.com/Cap-go/capgo.app/security/advisories/new
Canonical: https://capgo.app/security/
セキュリティ.txt: https://capgo.app/.well-known/security.txt (セキュリティ情報)

At Capgo, we consider the security of our systems a top priority. However, no matter how much effort we put into system security, there can still be vulnerabilities present.

もしもあなたが脆弱性を発見した場合、できるだけ早く対処することができるように、ご協力いただけますか。私たちのクライアントやシステムをよりよく保護するために、ご協力いただけますか。

範囲外の脆弱性:

  • ページに敏感なアクションがない場合のクリックジャッキング。
  • 未認証/ログアウト/ログインのCSRF。
  • ユーザーのデバイスへの物理的なアクセスやMITM攻撃を必要とする攻撃。
  • 社会的エンジニアリングを必要とする攻撃。
  • サービスを中断する可能性のある任意の活動 (DoS)。
  • HTML/CSSを変更できない場合や、攻撃ベクトルを表示しない場合のコンテンツのスパッフォイニングやテキストのインジェクションの問題。
  • メール詐欺
  • DNSSEC、CAA、CSP ヘッダーが欠落している
  • 非機密性のクッキーにSecureまたはHTTP onlyフラグが欠落している
  • 死リンク
  • ユーザー識別
  • SSRF or DNS spoofing reports against webhooks or website preview. These features run on serverless infrastructure and cannot be used to reach private Capgo infrastructure, so they are not exploitable in our environment.
  • User-owned application code or project configuration that Capgo does not own, ship, or control, including files such as capacitor.config.ts, config.capacitor.ts, app source code, and environment-specific settings.
  • Access to Capgo bundle files or proof that bundle files can be downloaded. Bundle files are public web assets, users are informed of this, and access to them is not considered a data breach.
  • Unauthenticated Capgo plugin/API endpoints that are intentionally public by design — including channel_self set and update/stats endpoints that do not require an API key — are not vulnerabilities. Do not report them as such.
  • Uploader or UI incorrectly labeling encryption for bundles served via external_url is not a Capgo vulnerability (encryption of externally hosted bundles is outside Capgo’s control).

Supabase Authの既知の制限

Some findings are repeatedly reported and tied to Supabase Auth behavior. These are only treated as Supabase-side issues when they can be reproduced in a shared Supabase demo project configured like ours and when a Supabase configuration change fixes the behavior without changing Capgo security rules. If the fix requires changing Capgo-owned SQL, RPCs, RLS policies, functions, or app logic, that is a Capgo issue and should be reported to us.

  • 報告には、設定が ours と同じで、動作を示すことができる共有サブエースデモプロジェクトが含まれ、ステップが含まれます。
  • 報告には、Capgo 所有の code /構成オブジェクトが含まれ、または動作を解決するサブエースの設定/構成変更のパスが含まれます。
  • アカウント/メールフローは、サブエースプロジェクトの設定 (例えば、メール検証が無効でキャプチャフローが使用されている場合) に対して検証されます。
  • パスワードとメール/パスワードの更新フローは、現在のサブエース認証セッションと再検証設定に依存する場合があります。
  • デモプロジェクトが、Capgo ポリシー変更なしで具体的なサブエース側の修正を示した場合、または具体的な Capgo 所有の欠陥を示した場合、レビューすることができます。

テストガイドライン:

  • 他の顧客のプロジェクトに自動スキャナーを実行しないでください。自動スキャナーを実行すると、ユーザーにとってコストがかかります。Aggressively 設定されたスキャナーは、サービスを混乱させたり、脆弱性を利用したり、システムのinstabilityを引き起こしたり、セキュリティ上の違反を引き起こしたりする可能性があります。上流のプロバイダーから提供されるTerms of Serviceを違反する可能性があります。 自分たちのセキュリティシステムは、敵対的な偵察とホワイトハットの研究を区別することができません。 自動スキャナーを実行したい場合は、security@capgo.appに連絡してください。 自分のCapgoプロジェクトでしか実行しないでください。 他の顧客のプロジェクトに攻撃を加えないでください。
  • 脆弱性や問題を利用して、必要以上のデータをダウンロードしたり、他人のデータを削除したり、変更したりしないでください。

報告ガイドライン:

  • Submit your findings through our GitHub Security Advisory:: https://github.com/Cap-go/capgo.app/security/advisories/new
  • https://__CAPGO_KEEP_0__.com/Cap-go/__CAPGO_KEEP_1__.app/security/advisories/new
  • We accept and review security reports for Capgo plugins, but paid bounties for plugin code are limited to @capgo/capacitor-updater. Other Capgo plugins are free to use and are not part of our paid product offering, so reports for them are reviewed but unpaid.

役割: ウェブサイトコピーの文。見られる場所: セキュリティドキュメントまたは信頼コピー。ページ/エリア: セキュリティドキュメントまたは信頼コピー。

  • __CAPGO_KEEP_0__ プラグインのセキュリティレポートを受け付けてレビューしていますが、@__CAPGO_KEEP_2__/__CAPGO_KEEP_3__-updaterで有料のbountyを提供するのは__CAPGO_KEEP_1__ プラグインのみです。 他の__CAPGO_KEEP_4__ プラグインは無料で利用でき、有料製品の提供範囲外なので、レポートはレビューされますが、未払いです。
  • あなたが Capgo に関する研究を会議、ブログ、またはその他の公のフォーラムで公開したい場合は、公表予定日から30日以上前に、レビューと承認のために、草案を共有してください。ご了承くださいが、以下のものは含めないでください。
    • Capgo の顧客プロジェクトに関するデータ
    • Capgo の顧客のデータ
    • Capgo の従業員、契約社員、パートナーに関する情報

私たちは約束しています:

  • 私たちはあなたの報告に対して7営業日以内に、報告の評価と解決の予定日を含む回答を返します。
  • あなたが上記の指示を遵守している場合、報告に関して私たちはあなたに対して法的措置をとることはありません。
  • 私たちはあなたの報告を厳密に機密に扱い、あなたの個人情報を第三者に渡すことはありません。
  • 私たちはあなたに問題の解決の進捗状況を報告します。
  • 問題が報告された問題に関して、公の情報ではあなたの名前を問題の発見者として記載します (あなたがそう望まない場合は除く)。
  • ログに共有されたデータが漏洩した場合、問題の修正に使用するデバッグ情報として扱いますが、報復や復讐の理由にはなりません。

私たちはできる限り早く問題を解決し、問題が解決された後、最終的な発表に積極的に参加したいと思っています。