セキュリティ

FIM One はセキュリティを真摯に受け止めています。脆弱性を発見した場合は、ぜひお知らせください。責任ある開示に対してクレジットを付与します。

​

脆弱性の報告

報告方法は2つあります：

1. GitHub Security Advisories（推奨）— プライベートアドバイザリを作成してください。修正がリリースされるまで、メンテナーのみが表示できます。
2. メール — security@fim.ai に詳細を送信してください。説明、再現手順、影響を受けるバージョン、および影響評価を含めてください。

低い重大度の問題（例：機密データを公開しないセキュリティヘッダーの欠落）の場合は、security ラベルを付けて通常の GitHub Issue を開くことができます。

​

対応タイムライン

​

スコープ

​

スコープ内

• 認証および認可のバイパス
• SQLインジェクション、コマンドインジェクション、またはコード実行
• クロスサイトスクリプティング（XSS）またはクロスサイトリクエストフォージェリ（CSRF）
• 認証情報またはAPIキーの露出
• ユーザー間またはオーガニゼーション間の権限昇格
• テナント境界を超えたデータ漏洩

​

対象外

• サードパーティの依存関係の脆弱性（上流に報告してください。Dependabotで監視しています）
• ソーシャルエンジニアリング攻撃
• 現実的な攻撃ベクトルのない サービス拒否（DoS）
• デモ/クラウド環境の問題で、セルフホスト型デプロイメントに影響しないもの

​

セルフホステッド セキュリティ ベストプラクティス

独自のインフラストラクチャで FIM One を実行している場合は、以下の推奨事項に従ってデプロイメントを強化してください。

​

セキュリティ殿堂

確認された脆弱性報告者全員にクレジットを付与します（匿名を希望する場合を除く）。報告者はパイオニアプログラムの対象にもなります。

​

セキュリティポリシー全体

このページは主要なポイントをまとめています。完全なセキュリティポリシーについては、GitHubのSECURITY.mdを参照してください。