セキュリティポリシー（脆弱性の報告窓口）
要約
- 脆弱性を見つけたら、公開せずに下記のメールへ
- 3 営業日以内に受付のお返事をします
- 修正版は署名付きのアップデートで配布します
白樺 SHIRAKABA CMS の安全性を高めるためのご協力に感謝します。
報告の窓口
白樺 SHIRAKABA CMS の脆弱性を見つけた場合は、公開の掲示板や SNS には書かず、次の窓口へ非公開でお知らせください。
- メール：info@shirakaba-cms.jp（件名に「脆弱性の報告」と書いてください）
- 受付：北海道のWEB屋（白樺 SHIRAKABA CMS 運営者）
- 機械で読める形式：/.well-known/security.txt
報告に含めていただきたい内容
- 対象のバージョン（管理画面の「アップデート」画面に表示されます）
- 再現の手順（URL、送信した値、必要な権限＝未ログイン / 編集者 / 管理者）
- 想定される影響（情報の漏えい・改ざん・なりすまし など）
- 可能であれば、確認に使ったコードやスクリーンショット
個人情報や第三者のサイトのデータは送らないでください。
調査をされる方へのお願い
- 検証は、ご自身で用意した環境（ご自身のサーバーに設置した白樺 CMS など）で行ってください。
- 他人のサイトや、この公式サイト・アップデート配信サーバーへの攻撃、大量のアクセス、データの取得・改ざんはしないでください。
- 修正版の配布までは、内容を公表しないでください。
このお願いに沿って善意で行われた調査と報告について、運営者が法的な措置を求めることはありません。
対応の流れ（目安）
| 段階 | 目安 |
|---|---|
| 受付のお返事 | 3 営業日以内 |
| 再現と影響の評価 | 10 営業日以内 |
| 修正版の配布 | 重大度に応じて。重大なものは、署名付きのセキュリティ更新として優先して配布します |
| 公表 | 修正版の配布後、報告者と相談のうえで行います |
セキュリティ更新は、管理画面の既定の設定（「セキュリティ更新のみ自動」）のサイトには自動で適用されます。
対象外
- 利用者が設定で対処する事項（https を使っていない、管理画面の URL を既定のまま使っている、デバッグ表示を有効にしたまま公開している など）
- サーバー会社・ブラウザなど、白樺 CMS 以外の製品の問題
- 実際の被害につながらない指摘（バージョン番号が見える、など）
運営者：北海道のWEB屋
窓口：info@shirakaba-cms.jp