セキュリティ
脆弱性を見つけたら、非公開でお知らせください。
PNLCSは、実在するホスティング事業の請求、顧客の認証情報、決済連携を扱います。セキュリティ上の欠陥は請求書、顧客データ、支払いに影響しうるため、すべての報告をそのように扱います。
[email protected]へメール
説明、影響を受けるコンポーネント、再現手順、影響、使用しているPNLCS、Laravel、PHP、MySQLのバージョンを記載してください。認証情報や顧客データは伏せてください。PGPキーはご要望に応じてお渡しします。
GitHubの非公開の脆弱性報告機能も使えます。GitHubで報告する
セキュリティ上の発見について、公開のIssue、ディスカッション、フォーラムのスレッドを作成しないでください。
報告後の流れ
- 48時間受領の連絡報告が届いたことをお知らせします。
- 5営業日トリアージ最初の評価と深刻度の判定。
- 毎週状況の報告重大な問題はより早く。
- 14日修正のリリース重大な問題の場合の目安で、確認した日から数えます。
- 90日公開標準の期間で、相談可能です。
対象範囲
- アプリケーション：管理エリア、顧客エリア、API、キューワーカー、スケジュールされたジョブ
- 認証、ロール、セッション、トークン
- 決済ゲートウェイ、レジストラ、サーバーとの連携
- 標準テーマのテンプレートとビュー
- リポジトリで公開しているインストールおよびアップグレードのスクリプト
対象外
- 物理的なアクセスやroot相当の権限が必要な攻撃
- サードパーティのパッケージの欠陥（上流に報告してください）
- Self-XSSや、実際の攻撃経路のないヘッダーの欠如
- 影響が実証されていない自動スキャナーの出力
- Panelicaが運営するデモおよびサンドボックス環境
- フォークや改変されたコピー
すべてのインストール環境に組み込み済み
インストール環境を安全に保つためにPNLCSが行っていること。インストール後に確認すべき点はチェックリストにまとめています。
ロールベースのアクセス制御スタッフ向けの46の細かな権限。APIキーは、そのスタッフアカウントのロールで動作します。
二要素認証スタッフと顧客向け。スタッフにはリカバリーコード付き。
レート制限ログイン、二要素認証コード、パスワードリセット、確認メール。
アクティビティログ管理エリアとAPIでのすべての操作を、実行者とともに記録します。
範囲を限定したホスティングツールファイル、DNS、cron、バックアップのすべての操作を、顧客自身のドメインと照合します。
保護されたプロビジョニングProxmox VEでは、PNLCSは自分が作成して印を付けたマシンにだけ操作を行います。
殿堂
欠陥を非公開で報告し、修正を先にリリースする時間をくださった方々です。ありがとうございました。
有償のバグバウンティはありませんが、研究者の名前はアドバイザリと変更履歴に記載し、希望があればここにも掲載します。ポリシーに従った善意の調査に対して、法的措置を取ることはありません。