CreativeBOT プロジェクトのセキュリティポリシー、脆弱性報告手順、および責任ある開示に関するガイドラインです。
| バージョン | サポート状況 |
|---|---|
| 最新リリース | ✅ セキュリティアップデート対象 |
| それ以前 | ❌ サポート終了 |
CreativeBOT は常に最新バージョンの使用を推奨します。セキュリティパッチは最新リリースに対してのみ提供されます。
セキュリティ上の脆弱性を発見した場合は、公開の Issue や Pull Request を作成しないでください。
以下の方法で非公開に報告してください:
- Discord DM: YuseiDevelop (プロジェクトオーナー)
| 項目 | 説明 |
|---|---|
| 概要 | 脆弱性の簡潔な説明 |
| 影響範囲 | 影響を受けるコンポーネント |
| 再現手順 | 脆弱性を再現するための詳細な手順 |
| 影響度 | 想定される影響 (データ漏洩 / 権限昇格 / DoS 等) |
| 環境情報 | OS、ブラウザ等の環境情報 |
報告受領 → 確認 (24h以内) → 調査・修正 → テスト → デプロイ → 報告者への通知
- 受領確認: 報告から 24 時間以内に受領を確認
- 調査: 脆弱性の影響範囲と深刻度を評価
- 修正: パッチの開発とテスト
- デプロイ: 本番環境への適用
- 通知: 報告者への修正完了通知
- Discord OAuth2 による安全なログイン
- セッション管理: 暗号化されたセッションストア (httpOnly / secure / sameSite Cookie)
- CSRF 保護: トークンベースのクロスサイトリクエストフォージェリ防止
- Origin 検証: Same-Origin ポリシーの強制
- 権限チェック: ロールベースのアクセス制御 (RBAC)
- リダイレクト先パラメータのサニタイゼーション (オープンリダイレクト防止)
- 全 API 入力に対する型チェック・長さ制限・エスケープ処理
- ファイルアップロードの MIME タイプ検証・サイズ制限
- 全 API エンドポイントに対する IP ベースのレート制限
- 認証・認証フロー・一般 API で個別の制限値を設定
- 高可用性バックエンドによる分散対応とフォールバック機構
- IP アドレス: ソルト付き SHA-256 によるハッシュ化 (生 IP は保存しない)
- セッションデータ: 暗号化されたストアに保存
- シークレット: 全て環境変数で管理 (ハードコード禁止)
- サーバー情報: フィンガープリント情報の非公開化
- コンテナによるネットワーク分離 (内部サービス間通信のみ許可)
- 内部 API は外部から到達不可能な設計
- 明示的な信頼リストによるプロキシ設定
- TLS 終端とセキュリティヘッダーの付与
- 全管理アクションの監査ログ記録 (長期保持)
- アクセスログの記録
- セキュリティイベント (認証失敗、レート制限超過等) のログ
以下のセキュリティヘッダーを設定しています:
| ヘッダー | 目的 |
|---|---|
X-Frame-Options |
クリックジャッキング防止 |
X-Content-Type-Options |
MIME タイプスニッフィング防止 |
X-XSS-Protection |
XSS フィルター有効化 |
Referrer-Policy |
リファラー情報の制限 |
Strict-Transport-Security |
HTTPS の強制 |
| サーバー情報 | 非公開化 |
- 定期的な依存関係の脆弱性監査を実施
- セキュリティに関わるパッケージは常に最新バージョンを追跡
- 脆弱性が報告されたパッケージは速やかにアップデート
| 深刻度 | 対応時間 |
|---|---|
| Critical / High | 24時間以内 |
| Medium | 1週間以内 |
| Low | 次回リリース |
| レベル | 説明 | 対応時間 |
|---|---|---|
| P0 (Critical) | データ漏洩、認証バイパス、リモートコード実行 | 即時対応 |
| P1 (High) | 権限昇格、CSRF、XSS | 24時間以内 |
| P2 (Medium) | 軽微な情報漏洩、サービス拒否 | 1週間以内 |
| P3 (Low) | ベストプラクティス違反 | 次回リリース |
- 検知: 監視システムまたは外部報告による脆弱性の検知
- 封じ込め: 影響範囲の特定と一時的な緩和策の適用
- 根本原因分析: 脆弱性の根本原因を特定
- 修正: パッチの開発・テスト・デプロイ
- 事後分析: 再発防止策の策定と文書化
- プライバシー: IP アドレスのハッシュ化、データ最小化の原則
- Discord ToS: Discord API 利用規約および開発者ポリシーの遵守
- データ保持: 監査ログの適切な保持期間管理、セッションデータの TTL 管理
© 2025 Creative BOT Project — All Rights Reserved