報告のしかた
報告は marius@web-highlights.com にお送りください。記入するフォームも作成するアカウントも不要です。役立つ報告には、たいてい次のような情報が含まれています。
- どの部分が影響を受けるか——拡張機能、ウェブアプリ、またはウェブサイト。
- 再現手順。可能であれば概念実証（PoC）付きで。スキャナーのスクリーンショットだけでは、対応に十分な情報になりにくいです。
- 攻撃者が実際に何をできてしまうか。
- クレジット表記をご希望の場合、どのようにお名前を記載してほしいか。
機械可読な連絡先情報は /.well-known/security.txt にあります。
対象範囲
- Chrome、Edge、Firefox 向けの Web Highlights ブラウザ拡張機能。
- app.web-highlights.com のウェブアプリ（リーダーと PDF ビューアを含む）。
- web-highlights.com のウェブサイト。
- ハイライト、メモ、タグを保存する同期 API。
対象外
- サービス拒否（DoS）攻撃、大量アクセスによるテスト、その他他の利用者のサービス品質を低下させる行為。
- 利用者や運営者に対するソーシャルエンジニアリング。
- 実際の影響が示されていない、セキュリティヘッダーの不足や弱い暗号スイートなどの指摘。
- Self-XSS、および事前に侵害されたデバイスを前提とする問題。
- 依存している第三者サービスの脆弱性——該当のベンダーに直接ご報告ください。
そのあとの流れ
Web Highlights は一人で運営しているので、見栄えのいい話ではなく、正直なスケジュールをお伝えします。
- 5 営業日以内に受領を確認します。それまでに連絡がない場合は、リマインドをお送りください。メールが届いていない可能性があります。
- 10 営業日以内に初期評価を行い、再現できたかどうかと、深刻度の評価をお伝えします。
- 深刻度に応じた修正スケジュールを組みます。実際に悪用されているものはすぐに対応し、影響の小さい問題は次の定期リリースまで待つことがあります。
- ご希望に応じてクレジット表記をします。修正が公開された後に対応します。有償のバグ報奨金プログラムは行っていません。お金は発生しないと、あいまいにせずはっきりお伝えします。
公開の前に、修正を出すための合理的な猶予期間をいただけますようお願いします。無期限の沈黙をお願いすることはありません。
セーフハーバー
誠実に調査を行い、このポリシーに従っていただければ、法的措置を取ることはなく、報告を製品セキュリティへの正当な貢献として扱います。ご自身のアカウントとテストデータの範囲内にとどめ、他の方のハイライトにアクセスしたり変更したりせず、証拠が得られたらすぐに調査をやめて、私たちにご連絡ください。
規制当局への報告
Web Highlights GmbH は EU のサイバーレジリエンス法における製造者にあたります。実際に悪用されている脆弱性や重大なセキュリティインシデントについて、同法が定める 24 時間・72 時間の期限内に、関係する各国の CSIRT と ENISA へ通知する社内手続きを設けています。問題が皆様に影響する場合は、その内容と取るべき対応についてもリリースノートに記載します。